Qu'est-ce que le piratage a vraiment révélé ?

En novembre 2025, un pirate a utilisé Shai-Hulud, un ver qui se propage via des paquets npm compromis, pour voler les identifiants d'un employé de Suno et s'introduire dans le GitHub et le cloud de l'entreprise. Il a ainsi eu accès au code source et aux journaux internes de 2023 et 2024, la période où Suno a constitué les jeux de données ayant servi à entraîner ses modèles de génération musicale.

Ces journaux, transmis à 404 Media et révélés le 15 juillet 2026, ressemblent à une liste de courses. YouTube Music représente à lui seul 2 013 545 extraits et 113 879 heures ingérées, avec 152 162 heures supplémentaires comptabilisées séparément dans un pipeline « tagué ». Genius apporte 17 615 heures, Deezer 12 287 heures, et la banque libre de droits Pond5 un total impressionnant de 62 117 heures. Jamendo, Freesound, l'International Music Score Library Project et des flux RSS de podcasts complètent la liste. Selon les informations tirées du code source, Suno aurait fait transiter une partie du scraping YouTube par le réseau de proxys de Bright Data, en changeant d'adresse IP pour contourner les protections anti-scraping de YouTube, exactement le type de contournement que la RIAA a pointé du doigt dans sa plainte amendée de septembre 2025.

« Pratiquement tous les fichiers musicaux de qualité raisonnable accessibles sur l'Internet ouvert »

C'est ainsi que Suno décrivait elle-même sa méthode d'entraînement dans une précédente pièce judiciaire, reconnaissant avoir ingéré des dizaines de millions d'enregistrements. Les statistiques de pipeline qui ont fuité montrent, pour la première fois hors de l'entreprise, ce à quoi cet aveu correspond réellement, source par source.

Pourquoi Suno n'a-t-elle pas prévenu ses clients ?

La même intrusion a exposé les données de compte de centaines de milliers d'utilisateurs de Suno : e-mails, numéros de téléphone et informations de paiement Stripe partielles. Suno affirme avoir découvert la faille peu après les faits, la qualifie d'« incident de sécurité limité et rapidement maîtrisé », et maintient n'avoir jamais détenu de numéros de carte complets ni d'autres informations personnelles sensibles. Ce qu'elle n'a pas fait, selon des clients interrogés par 404 Media, c'est les prévenir. Huit mois se sont écoulés entre l'intrusion et sa première confirmation publique, une confirmation venue d'un journaliste, pas de Suno.

En quoi cela change-t-il la bataille juridique de Suno ?

Suno se défend toujours contre la plainte pour violation de droits d'auteur déposée par les majors en 2024 ; Warner Music Group a abandonné sa propre plainte après avoir signé un accord de licence plus tard la même année, tandis qu'Universal et Sony maintiennent la pression. En Allemagne, la société de gestion collective GEMA mène une procédure distincte, dont le verdict est attendu à Munich le 31 juillet 2026, deux semaines à peine après la fuite. La procédure américaine a plus de marge : un tribunal du Massachusetts a repoussé les requêtes décisives à avril 2027. Pour les ayants droit, les journaux de pipeline qui ont fuité tiennent moins de la surprise que de la pièce à conviction : une preuve opérationnelle, chiffrée par Suno elle-même, de ce qu'une défense fondée sur le fair use doit désormais justifier.