15 luglio 2026 il codice sorgente interno di Suno, uno dei più grandi generatori di musica basati su IA, è stato reso pubblico. La fuga di notizie ha realizzato ciò che gli attori legali cercavano di dimostrare nei tribunali per anni: ha mostrato con numeri precisi da dove il servizio traeva i dati per l'addestramento. La risposta è: da tutto il web, tramite scraping industriale, su scala fisicamente impossibile senza un'infrastruttura di proxy. Scopriamo cosa è emerso e perché questa storia riguarda il substrato di tutta l'industria dell'IA, e non solo un singolo servizio.
Cosa è successo: l'hack ha rivelato il funzionamento di Suno
Secondo 404 Media e TechCrunch, un hacker con il nickname ellie.191 ha avuto accesso ai sistemi di Suno già nel novembre 2025 attraverso un attacco alla catena di approvvigionamento — un worm chiamato Shai-Hulud, che raccoglie le credenziali di GitHub e dei servizi cloud. Compromettendo l'account di un dipendente, l'attaccante ha scaricato il codice sorgente e le configurazioni interne, insieme a informazioni su centinaia di migliaia di clienti di Suno e dati di pagamento da Stripe (email, numeri di telefono, parti dei numeri delle carte).
L'incidente è avvenuto alla fine del 2025, ma Suno non ha avvisato gli utenti e continua a definirlo "un incidente di sicurezza limitato, rapidamente localizzato". I materiali sono emersi pubblicamente solo ora, a luglio 2026, e il vero valore della fuga non risiede nei dati personali, ma nei commenti al codice, dove sono elencate le fonti e i volumi del dataset di addestramento.
Numeri che non volevano essere mostrati
In passato, Suno si era limitato a frasi vaghe — l'addestramento avveniva su "praticamente tutti i file musicali di qualità accettabile disponibili su internet", che corrispondono a "decine di milioni di tracce". Il codice trapelato ha sostituito la vaghezza con la concretezza. Ecco cosa è realmente stato iniettato nel modello:
- YouTube Music — 2 013 545 video musicali, 113 879 ore; un corpus etichettato separato "YTM Tagged" — altre 152 162 ore;
- Pond5 (musica stock) — 62 117 ore;
- IMSLP (International Music Score Library Project, biblioteca musicale) — 19 514 ore;
- Genius (testi delle canzoni) — 17 615 ore;
- Deezer — 12 287 ore;
- Jamendo — 3 726 ore;
- Freesound — 410 ore;
- MuseScore — testi e spartiti;
- podcast tramite RSS — il codice ha estratto circa 420 000 podcast con cinque o più episodi di oltre 30 minuti, con l'obiettivo di estrarre circa 1 milione di ore di audio.
I commenti nel codice non lasciano spazio a interpretazioni: il sistema estraeva dati da "genius_hq, youtube_music, freesound, jamendo, imslp, deezer, ytm_tagged", mentre "i contenuti non musicali venivano filtrati" nella post-elaborazione. Non si tratta di zone grigie o caricamenti casuali — è una catena di montaggio progettata per la raccolta di dati da tutto il web disponibile.
Perché ciò è impossibile senza proxy
Un dettaglio chiave che è facile trascurare dietro ai numeri impressionanti: YouTube Music, Deezer e la maggior parte delle piattaforme di streaming si difendono aggressivamente contro il download massivo. Limiti severi sulle richieste per IP, fingerprinting comportamentale e TLS, captcha, ban di intervalli — tutto ciò di cui parliamo regolarmente. Scaricare due milioni di video e centinaia di migliaia di ore di audio da un singolo indirizzo o anche da cento è impossibile: l'infrastruttura della piattaforma bloccherà la fonte dopo le prime migliaia di richieste.
Per far funzionare una catena di questo tipo per mesi, è necessaria una rotazione di migliaia di IP diversi, che sembrino utenti reali — cioè proxy residenziali e proxy mobili. Gli indirizzi dei data center sulle piattaforme di streaming popolari vengono bloccati praticamente immediatamente per ASN. Il meccanismo di download è tipico — una combinazione come yt-dlp con uno strato di proxy; ne abbiamo parlato in dettaglio nella guida come scaricare da YouTube tramite yt-dlp e proxy per bypassare i blocchi. La fuga di Suno è un caso raro in cui si vede il grande volume di questo "substrato invisibile": il modello stesso è una vetrina, e sotto di esso gira da anni una fattoria di proxy che estrae contenuti in volumi industriali.
Questo spiega anche perché il mercato dei proxy nel 2026 è stato percepito come un'infrastruttura per l'IA, e non come uno strumento di nicchia per gli scraper. Qualsiasi grande dataset di addestramento — musicale, testuale, video — è prima di tutto logistica di raccolta: migliaia di IP, bypass del rilevamento, distribuzione del carico. Se vuoi comprendere meglio questo strato, abbiamo un'analisi separata proxy per l'addestramento dell'IA e la raccolta di dataset.
Una mina legale: non si tratta di proxy, ma di cosa e da dove
Suno ha già fatto causa a grandi etichette discografiche, e la fuga di notizie rafforza la loro posizione. L'azienda si difende con la dottrina dell'uso equo (fair use): sostiene che l'addestramento su musica pubblicamente disponibile sia legale. Ma i titolari dei diritti hanno un asso nella manica più serio del copyright — DMCA. Il loro argomento: lo scraping da YouTube in volumi industriali significa bypassare le misure di protezione tecnica che la piattaforma ha messo in atto contro il download automatico. E bypassare tali misure è già una violazione separata, indipendentemente da come si concluderà la disputa sull'uso equo. Anche le cause contro il concorrente di Suno — il servizio Udio, accusato di analogo scraping di YouTube — seguono lo stesso percorso.
La conclusione per tutti coloro che raccolgono dati è la stessa di quella nella storia con le linee guida EDPB sullo scraping sotto il GDPR: i proxy risolvono il problema tecnico dell'accesso, ma non forniscono una base legale. Un IP residenziale ti fa sembrare un visitatore normale — non annulla i termini di utilizzo della piattaforma, i diritti d'autore e il DMCA. Il perimetro legale è definito da COSA e PERCHÉ raccogli, non da quanto pulito appare il tuo traffico.
Cosa portare via da tutto ciò
Anche se non hai mai raccolto musica per l'IA, il caso di Suno è una lezione concentrata sulla raccolta di dati nel 2026:
- La scala si basa sui proxy. Qualsiasi raccolta seria da piattaforme di streaming e protette richiede IP residenziali o mobili con rotazione — un data center viene bloccato per ASN in pochi minuti. Il tipo di proxy viene scelto in base all'obiettivo: residenziali per il web ampio, mobili per i sistemi anti-bot più aggressivi.
- Accesso tecnico ≠ diritto. Il bypass della protezione anti-scraping può essere qualificato come violazione del DMCA e dei termini di utilizzo. Separa i dati aperti senza barriere tecniche dai contenuti protetti — sono livelli di rischio diversi.
- Igiene e origine dei proxy contano. Con la chiusura di botnet come NetNut, l'origine degli IP residenziali è diventata un criterio di scelta: un pool pulito da un fornitore trasparente significa stabilità e riduzione dei rischi legali.
- I dati trapelano insieme ai metodi. Suno ha negato per anni lo scraping diretto — e un solo hack ha annullato tutte le formulazioni. Costruisci il tuo pipeline come se dovesse essere letto in tribunale domani.
Conclusione
L'hack di Suno è interessante non per i dati personali, ma per il fatto che ha mostrato per la prima volta il retro di un grande prodotto IA in numeri concreti: 2 013 545 video da YouTube Music, decine di fonti, un milione di ore di podcast in programma. Dietro questi numeri non c'è magia della rete neurale, ma una banale logistica di raccolta: una fattoria di proxy, bypass del rilevamento, mesi di estrazione. La corsa all'IA degli ultimi anni è in gran parte una corsa ai dati, e la corsa ai dati è una corsa per l'infrastruttura di accesso. Suno si è semplicemente trovato ad avere l'infrastruttura che altri hanno osservato.
Se stai costruendo una raccolta di dati legale — per analisi, addestramento di modelli o monitoraggio — inizia con il giusto substrato: proxy residenziali e mobili con origine trasparente. La tecnica di accesso è risolvibile; l'importante è mantenerla nei limiti della legge e del buon senso.
```