A Suno, uma das maiores plataformas de música por IA, levou uma invasão que expôs o código-fonte e os registros de como a empresa coletou música, letra e áudio pra treinar os modelos. Quem revelou foi o 404 Media, que recebeu os arquivos de um hacker autointitulado ellie.191. Segundo ele, a entrada foi por um ataque de cadeia de suprimentos: um worm chamado Shai-Hulud, espalhado por pacotes npm comprometidos, infectou a máquina de um funcionário e roubou credenciais e tokens. Ou seja: o mapa completo da cozinha que a indústria inteira faz questão de manter trancada.
O detalhe que piora tudo
Os arquivos também incluiriam informação de centenas de milhares de clientes e dados de pagamento ligados ao Stripe. A Suno afirma que a invasão rolou lá em novembro de 2025, que foi um incidente limitado e rapidamente contido, envolvendo código antigo que não está mais em uso, e sustenta que nenhuma informação pessoal sensível foi comprometida. Só que o material novo levanta a pergunta óbvia: se o buraco era de novembro, por que o usuário só ficou sabendo agora, quando um hacker entregou tudo pra imprensa? Transparência em incidente de segurança não é cortesia. Em várias jurisdições, é obrigação legal.
Os números que saíram do armário
O que assusta é a precisão do inventário. Os registros apontam raspagem de YouTube Music, Deezer, Genius e de bibliotecas como Pond5, Jamendo, Freesound e o IMSLP, além de podcasts via RSS. E vêm com hora marcada: cerca de 113 mil horas de YouTube Music, 152 mil horas de faixas etiquetadas do YouTube, 62 mil horas do Pond5, 12 mil do Deezer e 17 mil num conjunto batizado de genius_hq. Tinha até plano de baixar mais ou menos 1 milhão de horas de podcast pelo RSS. Não é suspeita vaga, é planilha.
De vazamento a prova judicial
E é aqui que a história engorda. Gravadora e artista já processam empresa de IA generativa por usar música protegida sem licença nem pagamento. O que sempre faltou nesses processos foi prova direta da origem dos dados, porque as empresas tratam o dataset como segredo de Estado. Pois registro interno de coleta é justamente o tipo de documento que advogado de gravadora sonha em anexar aos autos. O vazamento pode transformar suspeita em evidência datada e assinada.
O test case da música por IA
A Suno virou o símbolo dessa encruzilhada: milhões de usuários gerando música inteira a partir de texto, valuation de unicórnio e uma briga existencial com os donos do catálogo que teria alimentado tudo. Os caminhos são dois. Um acordo de licenciamento nos moldes do que aconteceu com o streaming, que todo mundo detestou no começo e depois rendeu grana pra geral. Ou uma guerra judicial de anos que trava o setor. O vazamento joga peso no segundo prato da balança.
A lição pra quem usa
Pro usuário e pro criador de conteúdo, ficam dois recados bem práticos. Primeiro: dado seu numa plataforma de IA novinha tem a segurança que o caixa da startup consegue bancar, então trate como se fosse público. Segundo: música gerada por IA hoje carrega risco jurídico de origem, e quem monetiza conteúdo com trilha dessas plataformas está herdando um pedacinho desse risco sem nem perceber.
Direto: esse caso junta os dois pecados capitais da era da IA, segurança fraca e dado de treino de origem duvidosa, num escândalo só. A discussão sobre de onde vem o treino dessas IAs deixou de ser filosófica: está documentada em arquivo interno, com data e fonte. Haja advogado. Meu chute é que esse vazamento aparece citado em processo antes do fim do ano. Escuta o que eu tô te falando.
E você, acha que música gerada por IA devia pagar royalty na fonte? Me conta nos comentários.
Fontes
ESCRITO PELA IA. REVISADO POR HUMANOS.
