La plateforme de génération musicale par intelligence artificielle Suno a été la cible d’une cyberattaque en novembre 2025, révélée récemment par le média 404 Media. L’attaquant aurait exploité une faille dans la chaîne d’approvisionnement logicielle pour accéder aux identifiants d’un employé. Cette intrusion a permis la divulgation de code source et de données clients, y compris des adresses e-mail, des numéros de téléphone et des informations de paiement partielles via Stripe. L’entreprise a qualifié l’incident de limité et rapidement maîtrisé, sans informer les utilisateurs concernés. L’atteinte aux systèmes de Suno apporte un éclairage nouveau sur les méthodes d’entraînement de son algorithme. Le code source accessible aux pirates indique que le générateur musical a été formé sur un large corpus de fichiers audio provenant d’Internet, notamment YouTube Music, Deezer, Genius, des bibliothèques de musique de stock et des flux RSS de podcasts. Suno avait antérieurement justifié ces pratiques par le recours aux exceptions du droit d’auteur pour l’usage équitable, affirmant se limiter à des contenus publics. Cette affirmation est directement contestée par les principaux labels discographiques qui intentent un procès contre la startup. Selon ces derniers, contourner intentionnellement les protections de YouTube pour extraire des données constitue une violation de la Digital Millennium Copyright Act et des conditions d’utilisation de la plateforme. Ce bras de fer juridique s’inscrit dans une tendance plus large touchant le secteur de l’intelligence artificielle générative. D’autres acteurs, comme le concurrent Udio ou encore Google, font face à des accusations similaires de la part d’éditeurs et d’industries culturelles, qui dénoncent l’exploitation non autorisée de propriétés intellectuelles pour entraîner leurs modèles. Alors que les régulateurs et les tribunaux cherchent encore à définir les limites légales de l’entraînement des IA sur des œuvres protégées, la cyberattaque subie par Suno soulève à la fois des interrogations sur la sécurité informatique des start-ups du secteur et sur la transparence de leurs méthodes de travail. L’entreprise devra désormais faire face à une pression juridique accrue tout en rétablissant la confiance de sa communauté d’utilisateurs.