15 juillet 2026, le code source interne de Suno — l'un des plus grands générateurs de musique basé sur l'IA — a été rendu public. La fuite a réalisé ce que les plaignants tentaient d'obtenir dans les tribunaux depuis des années : elle a montré avec des chiffres précis d'où le service tirait ses données pour l'entraînement. La réponse — de tout Internet, par un scraping industriel, à une échelle physiquement impossible sans une infrastructure de proxy. Nous allons examiner ce qui a été révélé et pourquoi cette histoire concerne le socle de toute l'industrie de l'IA, et pas seulement un service.
Ce qui s'est passé : le piratage a révélé les coulisses de Suno
Selon 404 Media et TechCrunch, un hacker sous le pseudonyme ellie.191 a accédé aux systèmes de Suno dès novembre 2025 par une attaque sur la chaîne d'approvisionnement — un ver nommé Shai-Hulud, qui collecte les identifiants GitHub et des services cloud. En compromettant le compte d'un employé, l'attaquant a extrait le code source et les configurations internes, ainsi que des informations sur des centaines de milliers de clients de Suno et des données de paiement de Stripe (emails, téléphones, parties des numéros de cartes).
L'incident lui-même s'est produit à la fin de 2025, mais Suno n'a pas informé les utilisateurs et continue de le qualifier d'« incident de sécurité limité, rapidement localisé ». Les documents n'ont été rendus publics que maintenant, en juillet 2026, et la principale valeur de la fuite ne réside pas dans les données personnelles, mais dans les commentaires du code, où sont énumérés les sources et les volumes du jeu de données d'entraînement.
Des chiffres qu'ils ne voulaient pas montrer
Auparavant, Suno se contentait de formulations vagues — l'entraînement se faisait sur « pratiquement tous les fichiers musicaux de qualité acceptable disponibles sur Internet » et cela représentait « des dizaines de millions d'enregistrements ». Le code fuité a remplacé cette ambiguïté par des précisions. Voici ce qui a réellement été injecté dans le modèle :
- YouTube Music — 2 013 545 clips musicaux, 113 879 heures ; un corpus annoté séparé « YTM Tagged » — encore 152 162 heures ;
- Pond5 (musique de stock) — 62 117 heures ;
- IMSLP (International Music Score Library Project, bibliothèque de partitions) — 19 514 heures ;
- Genius (paroles de chansons) — 17 615 heures ;
- Deezer — 12 287 heures ;
- Jamendo — 3 726 heures ;
- Freesound — 410 heures ;
- MuseScore — paroles et partitions ;
- podcasts via RSS — le code a extrait environ 420 000 podcasts avec cinq épisodes ou plus de plus de 30 minutes, dans le but d'extraire environ 1 million d'heures d'audio.
Les commentaires dans le code ne laissent aucune place à l'interprétation : le système tirait des données de « genius_hq, youtube_music, freesound, jamendo, imslp, deezer, ytm_tagged », tandis que « le contenu non musical était filtré » lors du post-traitement. Ce ne sont pas des zones grises ni des téléchargements aléatoires — c'est une chaîne de collecte de données conçue à partir de tout le web disponible.
Pourquoi cela est impossible sans proxy
Un détail clé, facilement négligé derrière ces chiffres impressionnants : YouTube Music, Deezer et la plupart des plateformes de streaming se protègent agressivement contre le téléchargement massif. Des limites strictes de requêtes par IP, du fingerprinting comportemental et TLS, des captchas, des bans de plages — tout cela dont nous parlons régulièrement. Télécharger deux millions de clips et des centaines de milliers d'heures d'audio depuis une seule ou même des centaines d'adresses est impossible : l'infrastructure de la plateforme bloquera la source après quelques milliers de requêtes.
Pour qu'une chaîne de cette ampleur fonctionne pendant des mois, il faut faire tourner des milliers de différentes IP, ayant l'apparence de vrais utilisateurs — c'est-à-dire des proxies résidentiels et des proxies mobiles. Les adresses de centres de données sur des plateformes de streaming populaires sont pratiquement bloquées immédiatement par ASN. Le mécanisme de téléchargement est en soi typique — une combinaison comme yt-dlp avec une couche de proxy ; nous l'avons détaillé dans notre guide comment télécharger depuis YouTube via yt-dlp et proxy pour contourner les blocages. La fuite de Suno est un cas rare où l'on peut voir l'ampleur de ce « socle invisible » : le modèle lui-même est une vitrine, et en dessous, une ferme de proxy tourne depuis des années, extrayant du contenu à des volumes industriels.
Cela explique également pourquoi le marché des proxies en 2026 a commencé à être perçu comme une infrastructure pour l'IA, et non comme un outil de niche pour les scrapers. Tout grand jeu de données d'entraînement — musical, textuel, vidéo — est avant tout une logistique de collecte : des milliers d'IP, un contournement des détections, une répartition de la charge. Si vous souhaitez comprendre ce niveau plus en profondeur, nous avons une analyse séparée des proxies pour l'entraînement de l'IA et la collecte de jeux de données.
Une mine juridique : ce n'est pas une question de proxy, mais de quoi et d'où
Suno a déjà poursuivi de grands labels, et la fuite renforce leur position. L'entreprise se défend avec la doctrine de l'utilisation équitable (fair use) : elle affirme que l'entraînement sur de la musique publiquement disponible est légal. Mais les titulaires de droits ont un atout plus sérieux que le droit d'auteur — DMCA. Leur argument : le scraping de YouTube à des volumes industriels signifie contourner les mesures techniques de protection que la plateforme a mises en place contre le téléchargement automatique. Et contourner ces mesures constitue déjà une violation distincte, peu importe comment se terminera le litige sur l'utilisation équitable. Des poursuites similaires sont également engagées contre le concurrent de Suno — le service Udio, accusé d'un scraping similaire de YouTube.
La conclusion pour tous ceux qui collectent des données est la même que dans l'histoire avec les directives de l'EDPB sur le scraping sous le GDPR : les proxies résolvent le problème technique d'accès, mais ne fournissent pas de base légale. Une IP résidentielle vous fait ressembler à un visiteur ordinaire — elle n'annule pas les conditions d'utilisation de la plateforme, les droits d'auteur et le DMCA. Le périmètre juridique est défini par CE que vous collectez et POURQUOI, et non par l'apparence de votre trafic.
Ce qu'il faut retenir
Même si vous n'avez jamais collecté de musique pour l'IA, le cas de Suno est une leçon concentrée sur la collecte de données en 2026 :
- L'échelle repose sur les proxies. Toute collecte sérieuse sur des plateformes de streaming et protégées nécessite des IP résidentielles ou mobiles avec rotation — un centre de données est bloqué par ASN en quelques minutes. Le type de proxy est choisi en fonction de l'objectif : résidentiels pour le web général, mobiles pour les systèmes anti-bots les plus agressifs.
- Accès technique ≠ droit. Contourner la protection anti-scraping peut être qualifié de violation du DMCA et des conditions d'utilisation. Séparez les données ouvertes sans barrières techniques du contenu protégé — ce sont des niveaux de risque différents.
- La propreté et l'origine des proxies comptent. Avec l'élimination de botnets comme NetNut, l'origine des IP résidentielles est devenue un critère de choix : un pool propre d'un fournisseur transparent signifie à la fois stabilité et réduction des risques juridiques.
- Les données fuient avec les méthodes. Suno a nié pendant des années le scraping direct — et un seul piratage a annulé toutes ces formulations. Construisez votre pipeline comme s'il allait être examiné au tribunal demain.
Conclusion
Le piratage de Suno est intéressant non pas pour les données personnelles, mais parce qu'il a montré pour la première fois les coulisses d'un grand produit d'IA en chiffres concrets : 2 013 545 clips de YouTube Music, des dizaines de sources, un million d'heures de podcasts en projet. Derrière ces chiffres se cache non pas la magie des réseaux neuronaux, mais la logistique banale de la collecte : une ferme de proxies, un contournement de la détection, des mois d'extraction. La course à l'IA des dernières années est en grande partie une course aux données, et la course aux données est une course pour l'infrastructure d'accès. Suno s'est simplement retrouvé avec l'infrastructure que d'autres ont observée.
Si vous construisez une collecte de données légale — pour l'analyse, l'entraînement de modèles ou la surveillance — commencez par le bon socle : des proxies résidentiels et proxies mobiles d'origine transparente. La technique d'accès est résoluble ; l'essentiel est de la maintenir dans le cadre de la loi et du bon sens.