15 de julho de 2026, o código-fonte interno do Suno — um dos maiores geradores de música baseados em IA — foi disponibilizado publicamente. A vazamento fez o que os demandantes tentaram conseguir nos tribunais por anos: mostrou com números exatos de onde o serviço obteve dados para treinamento. A resposta — de toda a internet, através de scraping industrial, em uma escala que é fisicamente impossível sem uma infraestrutura de proxies. Vamos entender o que realmente foi revelado e por que essa história é sobre a camada de sustentação de toda a indústria de IA, e não apenas sobre um único serviço.
O que aconteceu: o hack revelou a cozinha do Suno
De acordo com 404 Media e TechCrunch, um hacker sob o pseudônimo ellie.191 obteve acesso aos sistemas do Suno em novembro de 2025 através de um ataque à cadeia de suprimentos — um worm chamado Shai-Hulud, que coleta credenciais do GitHub e serviços em nuvem. Comprometendo a conta de um funcionário, o atacante extraiu o código-fonte e as configurações internas, junto com informações sobre centenas de milhares de clientes do Suno e dados de pagamento do Stripe (e-mails, telefones, partes dos números dos cartões).
O incidente ocorreu no final de 2025, mas o Suno não notificou os usuários e ainda o classifica como um "incidente de segurança limitado, que foi rapidamente contido". Os materiais tornaram-se públicos apenas agora, em julho de 2026 — e o principal valor do vazamento não está nos dados pessoais, mas nos comentários do código, onde estão listadas as fontes e os volumes do conjunto de dados de treinamento.
Números que não deveriam ser mostrados
Antes, o Suno se esquivava com formulações vagas — o treinamento era feito com "praticamente todos os arquivos musicais de qualidade aceitável disponíveis na internet aberta", totalizando "dez milhões de gravações". O código vazado substituiu a vaguidade pela especificidade. Aqui está o que realmente foi injetado no modelo:
- YouTube Music — 2.013.545 videoclipes, 113.879 horas; um conjunto separado rotulado "YTM Tagged" — mais 152.162 horas;
- Pond5 (música de estoque) — 62.117 horas;
- IMSLP (International Music Score Library Project, biblioteca de partituras) — 19.514 horas;
- Genius (letras de músicas) — 17.615 horas;
- Deezer — 12.287 horas;
- Jamendo — 3.726 horas;
- Freesound — 410 horas;
- MuseScore — letras e partituras;
- podcasts via RSS — o código destacou cerca de 420.000 podcasts com cinco ou mais episódios de mais de 30 minutos, com o objetivo de extrair cerca de 1 milhão de horas de áudio.
Os comentários no código não deixam espaço para interpretações: o sistema coletou dados de "genius_hq, youtube_music, freesound, jamendo, imslp, deezer, ytm_tagged", e "conteúdo não musical foi filtrado" na pós-processamento. Não são manchas cinzentas ou uploads aleatórios — é uma linha de montagem projetada para coleta de dados de toda a web disponível.
Por que isso é impossível sem proxies
Um detalhe chave que é fácil de perder entre os números impressionantes: YouTube Music, Deezer e a maioria das plataformas de streaming se protegem agressivamente contra downloads em massa. Limites rigorosos de requisições por IP, fingerprinting comportamental e TLS, CAPTCHAs, banimentos de intervalos — tudo isso sobre o que escrevemos regularmente. Baixar dois milhões de clipes e centenas de milhares de horas de áudio de um ou mesmo de cem endereços é impossível: a infraestrutura da plataforma bloqueará a fonte nas primeiras milhares de requisições.
Para que uma linha de montagem de tal escala funcione por meses, é necessária a rotação de milhares de IPs diferentes, que pareçam usuários reais — ou seja, proxies residenciais e proxies móveis. Endereços de data centers em plataformas populares são filtrados quase imediatamente por ASN. O próprio mecanismo de download é típico — uma combinação como yt-dlp com uma camada de proxies; já analisamos isso em nosso guia como baixar do YouTube via yt-dlp e proxies para contornar bloqueios. O vazamento do Suno é um caso raro, onde se pode ver a escala dessa "camada de sustentação invisível": o próprio modelo é uma vitrine, e sob ela, uma fazenda de proxies opera há anos, extraindo conteúdo em volumes industriais.
Isso também explica por que o mercado de proxies em 2026 começou a ser visto como uma infraestrutura para IA, e não como uma ferramenta de nicho para scrapers. Qualquer grande conjunto de dados de treinamento — musical, textual, de vídeo — é, em primeiro lugar, logística de coleta: milhares de IPs, contorno de detecções, distribuição de carga. Se você quer entender essa camada mais profundamente, temos uma análise separada sobre proxies para treinamento de IA e coleta de conjuntos de dados.
Uma mina jurídica: a questão não é sobre proxies, mas sobre o que e de onde
O Suno já processou grandes gravadoras antes, e o vazamento fortalece sua posição. A empresa se defende com a doutrina de uso justo (fair use): argumentando que o treinamento em música publicamente disponível é legal. Mas os detentores de direitos têm um trunfo mais sério do que os direitos autorais — DMCA. O argumento deles: o scraping do YouTube em volumes industriais significa contornar medidas técnicas de proteção que a plataforma implementou contra downloads automáticos. E contornar tais medidas é uma violação separada, independentemente de como a disputa sobre o uso justo terminar. Processos semelhantes estão sendo movidos contra o concorrente do Suno — o serviço Udio, que é acusado de scraping semelhante do YouTube.
A conclusão para todos que coletam dados é a mesma que na história com as diretrizes do EDPB sobre scraping sob o GDPR: proxies resolvem a questão técnica de acesso, mas não fornecem uma base legal. Um IP residencial faz você parecer um visitante comum — isso não anula os termos de uso da plataforma, direitos autorais e DMCA. O perímetro jurídico é definido pelo QUE e POR QUE você coleta, e não por quão limpo parece seu tráfego.
O que levar para si mesmo
Mesmo que você nunca tenha coletado música para IA, o caso do Suno é uma lição concentrada sobre coleta de dados em 2026:
- A escala depende de proxies. Qualquer coleta séria de plataformas de streaming e protegidas requer IPs residenciais ou móveis com rotação — data centers são filtrados por ASN em minutos. O tipo de proxy é escolhido de acordo com o objetivo: residenciais para a web ampla, móveis — para os sistemas anti-bot mais agressivos.
- Acesso técnico ≠ direito. Contornar a proteção anti-scraping pode ser qualificado como violação do DMCA e dos termos de uso. Separe dados abertos sem barreiras técnicas de conteúdo protegido — esses são níveis de risco diferentes.
- Higiene e origem dos proxies importam. Com a eliminação de botnets como a NetNut, a origem dos IPs residenciais se tornou um critério de escolha: um pool limpo de um provedor transparente significa estabilidade e redução de riscos jurídicos.
- Os dados vazam junto com os métodos. O Suno negou por anos o scraping direto — e um único hack anulou todas as formulações. Construa seu pipeline como se ele fosse lido em um tribunal amanhã.
Conclusão
O hack do Suno é interessante não pelos dados pessoais, mas porque mostrou pela primeira vez os bastidores de um grande produto de IA em números concretos: 2.013.545 clipes do YouTube Music, dezenas de fontes, um milhão de horas de podcasts planejadas. Por trás desses números não está a mágica da rede neural, mas a logística banal da coleta: uma fazenda de proxies, contornando detecções, meses de extração. A corrida da IA nos últimos anos é, em grande parte, uma corrida por dados, e a corrida por dados é uma corrida pela infraestrutura de acesso. O Suno simplesmente se tornou aquele que teve essa infraestrutura observada.
Se você está construindo uma coleta de dados legal — para análise, treinamento de modelos ou monitoramento — comece com a camada de sustentação correta: proxies residenciais e móveis com origem transparente. A técnica de acesso é solucionável; o importante é mantê-la dentro dos limites da lei e do bom senso.