Seorang peretas membobol sistem Suno pada November 2025 melalui serangan rantai pasok dan mengambil kredensial karyawan, lalu menemukan kode sumber yang membeberkan praktik pengumpulan audio dari YouTube Music, Deezer, Genius, hingga podcast RSS. Temuan itu dipublikasikan oleh 404 Media pada 15 Juli 2026 dan langsung memicu debat soal legalitas pelatihan kecerdasan buatan (AI) musik.
Suno selama ini mengklaim melatih model AI-nya menggunakan berkas musik yang tersedia di internet terbuka. Perusahaan membalas tuduhan pelanggaran hak cipta dengan dalih penggunaan wajar (fair use), celah subjektif dalam hukum hak cipta Amerika Serikat. Namun, kode yang dibocorkan menunjukkan pengumpulan data dilakukan secara terstruktur dari berbagai platform selama beberapa dekade.
Serangan rantai pasok yang dipakai peretas memberikan akses ke kredensial internal karyawan Suno. Dari situ, pelaku bisa masuk ke repositori kode dan melihat cara kerja sistem penambangan audio. Data pelanggan ikut terungkap, termasuk alamat surel, nomor telepon, dan sebagian nomor kartu kredit yang tersimpan di Stripe.
Suno tidak pernah mengabari pengguna soal insiden November 2025 tersebut. Manajemen menyebutnya sebagai insiden keamanan terbatas yang segera ditangani. Pernyataan itu bertolak belakang dengan kewajiban transparansi yang biasa diterapkan pada layanan digital berskala global.
Label rekaman besar saat ini menggugat Suno. Mereka berargumen bahwa penghindaran sengaja terhadap proteksi penambangan data YouTube melanggar Digital Millennium Copyright Act (DMCA). Tindakan itu juga melanggar ketentuan layanan YouTube. Udio, pesaing Suno, menghadapi tuduhan serupa terkait skraping data YouTube.
Google sebagai induk YouTube juga sedang diseret ke pengadilan oleh penerbit buku besar atas tuduhan pelanggaran hak cipta. Pola serangan hukum ini mencerminkan kekhawatiran industri kreatif global terhadap penggunaan konten tanpa lisensi untuk melatih model AI. Di Indonesia, isu serupa belum masuk ruang sidang, tetapi ruang kosong regulasi mulai mengkhawatirkan.
Bagi pengguna Indonesia, Suno dan Udio sudah bisa diakses secara langsung. Banyak kreator lokal menjajal fitur pembuat lagu otomatis untuk konten TikTok dan iklan. Ketika data pelatihan diambil tanpa izin, karya musisi Indonesia berisiko terserap tanpa kompensasi. Hal ini mengancam ekosistem musik independen yang sedang tumbuh.
Indonesia memiliki beberapa startup pengolah audio berbasis AI, meski belum setenar Suno. Kejadian ini memberi pelajaran soal tata kelola data dan kepatuhan hukum sejak tahap awal pengembangan. Tanpa panduan jelas, pengembang lokal bisa terjerat sengketa lintas negara.
Peretas dalam laporan 404 Media menyatakan akses diperoleh lewat celah pada pemasok layanan Suno. Ia tidak menyebut identitas, tetapi mengklaim pembongkaran itu untuk membuktikan praktik pengumpulan data yang selama ini dibantah perusahaan. Suno menolak berkomentar lebih jauh soal isi kode yang bocor.
Label rekaman menegaskan bahwa sirkumvensi proteksi teknis YouTube bukan sekadar pelanggaran kontrak, melainkan pelanggaran hukum pidana hak cipta. Mereka meminta pengadilan membekukan model yang dilatih dari data hasil skraping ilegal. Ini bisa jadi preseden bagi kasus di yurisdiksi lain.
Ke depan, tekanan regulasi akan meningkat terhadap perusahaan AI musik. Audit kode sumber mungkin menjadi syarat bagi layanan yang ingin beroperasi di pasar tertentu. Pengguna juga akan menuntut transparansi mengenai asal data pelatihan.
Di Indonesia, Kementerian Komunikasi dan Informatika serta lembaga hak cipta perlu mempertimbangkan aturan skraping AI sebelum industri meluas. Tanpa itu, kreator domestik hanya menjadi pemasok data gratis bagi raksasa teknologi luar negeri.