15 de julio de 2026 se filtró el código fuente interno de Suno, uno de los mayores generadores de música basados en IA. La filtración logró lo que los demandantes habían estado buscando en los tribunales durante años: mostró con cifras exactas de dónde obtenía el servicio los datos para su entrenamiento. La respuesta es: de toda la internet, mediante scraping industrial, a una escala que es físicamente imposible sin una infraestructura de proxies. Vamos a analizar qué se reveló exactamente y por qué esta historia trata sobre la capa subyacente de toda la industria de IA, y no solo sobre un servicio.
Qué sucedió: el hackeo reveló la cocina de Suno
Según 404 Media y TechCrunch, un hacker bajo el seudónimo de ellie.191 accedió a los sistemas de Suno en noviembre de 2025 a través de un ataque a la cadena de suministro — un gusano llamado Shai-Hulud, que recolecta credenciales de GitHub y servicios en la nube. Comprometiendo la cuenta de un empleado, el atacante descargó el código fuente y las configuraciones internas, junto con información sobre cientos de miles de clientes de Suno y datos de pago de Stripe (correo electrónico, teléfonos, partes de números de tarjetas).
El incidente en sí ocurrió a finales de 2025, pero Suno no notificó a los usuarios y hasta ahora lo llama "un incidente de seguridad limitado que se localizó rápidamente". Los materiales se hicieron públicos solo ahora, en julio de 2026, y el verdadero valor de la filtración no radica en los datos personales, sino en los comentarios del código, donde se enumeran las fuentes y volúmenes del conjunto de datos de entrenamiento.
Números que no se pretendía mostrar
Antes, Suno se limitaba a formulaciones vagas: el entrenamiento se realizaba con "prácticamente todos los archivos musicales de calidad aceptable disponibles en la internet abierta", lo que equivale a "decenas de millones de grabaciones". El código filtrado reemplazó la vaguedad con especificidad. Esto es lo que realmente se incorporó al modelo:
- YouTube Music — 2 013 545 videoclips musicales, 113 879 horas; un conjunto de datos etiquetado separado "YTM Tagged" — otras 152 162 horas;
- Pond5 (música de stock) — 62 117 horas;
- IMSLP (International Music Score Library Project, biblioteca de partituras) — 19 514 horas;
- Genius (letras de canciones) — 17 615 horas;
- Deezer — 12 287 horas;
- Jamendo — 3 726 horas;
- Freesound — 410 horas;
- MuseScore — letras y partituras;
- podcasts a través de RSS — el código destacó alrededor de 420 000 podcasts con cinco o más episodios de más de 30 minutos, con el objetivo de extraer alrededor de 1 millón de horas de audio.
Los comentarios en el código no dejan lugar a interpretaciones: el sistema extraía datos de "genius_hq, youtube_music, freesound, jamendo, imslp, deezer, ytm_tagged", y "el contenido no musical se filtraba" en el post-procesamiento. No son áreas grises ni descargas aleatorias: es una línea de producción diseñada para la recolección de datos de toda la web disponible.
Por qué esto es imposible sin proxies
Un detalle clave que es fácil pasar por alto tras los números impactantes: YouTube Music, Deezer y la mayoría de las plataformas de streaming se protegen agresivamente contra la descarga masiva. Límites estrictos de solicitudes por IP, huellas de comportamiento y TLS, captchas, bloqueos de rangos — todo lo que escribimos regularmente. Descargar dos millones de clips y cientos de miles de horas de audio desde una o incluso cientos de direcciones es imposible: la infraestructura de la plataforma bloqueará la fuente en las primeras miles de solicitudes.
Para que una línea de producción de tal magnitud funcione durante meses, se necesita rotar miles de IP diferentes que parezcan usuarios reales, es decir, proxies residenciales y proxies móviles. Las direcciones de centros de datos en plataformas de streaming populares se bloquean prácticamente de inmediato por ASN. El mecanismo de descarga es típico: una combinación como yt-dlp con una capa de proxies; lo hemos analizado en detalle en nuestra guía cómo descargar de YouTube a través de yt-dlp y proxies para eludir bloqueos. La filtración de Suno es un caso raro en el que se puede ver la magnitud de esta "capa subyacente invisible": el modelo en sí es una vitrina, y debajo de ella, durante años, ha estado funcionando una granja de proxies que extrae contenido a volúmenes industriales.
Esto también explica por qué el mercado de proxies en 2026 comenzó a ser visto como infraestructura para IA, y no como una herramienta de nicho para scrapers. Cualquier gran conjunto de datos de entrenamiento —musical, textual, de video— es, ante todo, logística de recolección: miles de IP, eludir detecciones, distribución de carga. Si desea comprender esta capa más a fondo, tenemos un análisis separado sobre proxies para el entrenamiento de IA y la recolección de conjuntos de datos.
Una mina jurídica: no se trata de proxies, sino de qué y de dónde
Suno ya había demandado a grandes sellos discográficos, y la filtración refuerza su posición. La compañía se defiende con la doctrina de uso justo (fair use): argumentando que el entrenamiento con música de acceso público es legal. Pero los titulares de derechos tienen un as bajo la manga más serio que el derecho de autor — DMCA. Su argumento: el scraping de YouTube a niveles industriales significa eludir las medidas técnicas de protección que la plataforma ha establecido contra la descarga automática. Y eludir tales medidas ya es una infracción separada, independientemente de cómo termine la disputa sobre el uso justo. Demandas similares están en curso contra el competidor de Suno — el servicio Udio, que es acusado de un scraping similar de YouTube.
La conclusión para todos los que recolectan datos aquí es la misma que en la historia sobre las directrices del EDPB sobre scraping bajo el GDPR: los proxies resuelven el problema técnico de acceso, pero no proporcionan una base legal. Una IP residencial te hace parecer un visitante normal — no anula los términos de uso de la plataforma, los derechos de autor y el DMCA. El perímetro legal se define por QUÉ y PARA QUÉ recolectas, no por cuán limpio parece tu tráfico.
Qué llevarse de esto
Aun si nunca has recolectado música para IA, el caso de Suno es una lección concentrada sobre la recolección de datos en 2026:
- La escala se sostiene en proxies. Cualquier recolección seria de plataformas de streaming y sitios protegidos requiere IP residenciales o móviles con rotación — un centro de datos se bloquea por ASN en minutos. El tipo de proxy se elige según el objetivo: residenciales para la web amplia, móviles para los sistemas anti-bot más agresivos.
- Acceso técnico ≠ derecho. Eludir la protección anti-scraping puede calificar como una violación del DMCA y de los términos de uso. Separa los datos abiertos sin barreras técnicas del contenido protegido — son diferentes niveles de riesgo.
- La higiene y el origen de los proxies importan. En medio de la eliminación de botnets como NetNut, el origen de las IP residenciales se ha convertido en un criterio de selección: un pool limpio de un proveedor transparente significa estabilidad y reducción de riesgos legales.
- Los datos se filtran junto con los métodos. Suno negó durante años el scraping directo — y un solo hackeo anuló todas las formulaciones. Construye tu pipeline como si mañana fuera a ser leído en un tribunal.
Conclusión
El hackeo de Suno es interesante no por los datos personales, sino porque mostró por primera vez el lado oculto de un gran producto de IA en números concretos: 2 013 545 clips de YouTube Music, decenas de fuentes, un millón de horas de podcasts en planes. Detrás de estos números no hay magia de redes neuronales, sino la banal logística de recolección: granja de proxies, eludir detecciones, meses de extracción. La carrera de IA de los últimos años es, en gran medida, una carrera por los datos, y la carrera por los datos es una carrera por la infraestructura de acceso. Suno simplemente resultó ser aquel de quien se espiaron esta infraestructura.
Si estás construyendo una recolección de datos legal —para análisis, entrenamiento de modelos o monitoreo— comienza con la capa subyacente correcta: proxies residenciales y móviles con un origen transparente. La técnica de acceso es solucionable; lo principal es mantenerla dentro de los límites de la ley y el sentido común.
```