Peretas Curi Data Pelatihan AI Suno dan Akun Pengguna

Telset.id – Perusahaan AI musik Suno mengalami peretasan yang mengekspos data pelatihan rahasia serta informasi pribadi ratusan ribu pelanggan. Insiden ini membocorkan detail jutaan lagu yang digunakan untuk melatih model AI mereka.

Seorang peretas yang menggunakan nama ellie.191 berhasil membobol sistem Suno dengan mengompromikan seorang karyawan menggunakan worm Shai-Hulud. Data yang diambil mencakup skrip internal yang mengungkapkan skala besar pengumpulan konten dari berbagai platform musik.

Menurut laporan 404 Media yang meninjau data internal tersebut, Suno mengumpulkan jutaan lagu, lirik, dan podcast dari YouTube Music, Deezer, Genius, serta sejumlah perpustakaan stok audio. Catatan dataset dalam kode sumber yang tampaknya berasal dari tahun 2023 dan 2024 mencatat total 113.879 jam audio YouTube Music saja.

Selain itu, puluhan ribu jam audio lainnya diambil dari Pond5, Deezer, dan perpustakaan lain. File lain menunjukkan Sunu merutekan proses scraping YouTube melalui proxy Bright Data dan menggunakan PodcastIndex untuk menargetkan sekitar 1 juta jam podcast.

Peretasan ini juga mengekspos informasi akun untuk ratusan ribu pelanggan, termasuk alamat email, nomor telepon, dan catatan pembayaran Stripe. Pelanggan yang datanya muncul dalam sampel yang dibagikan dengan 404 Media mengatakan mereka tidak pernah diberitahu tentang kebocoran tersebut.

Suno membantah bahwa data yang diretas bersifat sensitif. Perusahaan menyatakan bahwa pelanggaran tersebut melibatkan kode usang dan tidak ada informasi pribadi yang sensitif. Namun, temuan ini tampaknya memperkuat tuduhan utama industri rekaman bahwa Suno menarik lagu langsung dari YouTube.

Suno berargumen bahwa pelatihan model AI mereka memenuhi syarat sebagai penggunaan wajar (fair use). Perusahaan sebelumnya telah mencapai penyelesaian dengan Warner Music Group pada November tahun lalu.

Kasus ini menjadi sorotan tajam mengenai praktik pengumpulan data oleh perusahaan AI generatif. Industri musik sebelumnya telah menggugat Suno atas dugaan pelanggaran hak cipta massal. Data yang bocor kini memberikan bukti langsung tentang skala pengambilan konten tanpa izin.

Peretas ellie.191 mengaku telah mengakses sistem internal Suno melalui worm yang menargetkan karyawan. Metode ini menunjukkan kerentanan keamanan siber yang signifikan pada startup AI yang sedang berkembang pesat.

Suno belum mengkonfirmasi jumlah pasti pelanggan yang terkena dampak. Namun, sampel data yang bocor menunjukkan bahwa informasi pembayaran Stripe juga ikut terekspos, meningkatkan risiko penipuan finansial bagi para pengguna.

Insiden ini juga memicu pertanyaan tentang transparansi perusahaan AI dalam mengungkapkan pelanggaran data. Beberapa pelanggan yang datanya muncul dalam sampel publik mengaku tidak menerima pemberitahuan resmi dari Suno.

Perusahaan AI musik tersebut kini menghadapi tekanan ganda: tuntutan hukum dari industri rekaman dan krisis kepercayaan dari pengguna akibat kebocoran data. Situasi ini bisa menjadi preseden penting untuk regulasi keamanan data di sektor AI.

Para ahli keamanan siber menilai bahwa penggunaan worm Shai-Hulud untuk mengompromikan karyawan menunjukkan tingkat kecanggihan serangan yang tinggi. Metode ini memungkinkan peretas untuk melewati pertahanan keamanan tradisional.

Suno belum merilis pernyataan resmi mengenai langkah-langkah yang akan diambil untuk mengamankan sistem mereka pasca-peretasan. Perusahaan juga belum mengkonfirmasi apakah akan memberikan kompensasi kepada pelanggan yang terkena dampak.

Kasus ini menambah daftar panjang insiden keamanan siber yang melibatkan perusahaan AI. Sebelumnya, beberapa perusahaan AI besar juga mengalami kebocoran data yang mengekspos informasi pelatihan model mereka.

Industri musik global kini semakin vokal menentang praktik pelatihan AI yang menggunakan konten berhak cipta tanpa izin. Data yang bocor dari Suno bisa menjadi amunisi hukum baru bagi para penggugat.

Sementara itu, pengguna layanan Suno disarankan untuk segera mengganti kata sandi akun mereka dan memantau aktivitas mencurigakan pada metode pembayaran yang terdaftar.

Perusahaan startup AI lainnya juga diingatkan untuk meningkatkan protokol keamanan siber mereka, terutama dalam melindungi data pelatihan dan informasi pelanggan yang sensitif.

Kasus Suno menunjukkan bahwa perlombaan untuk mengumpulkan data pelatihan AI seringkali mengabaikan aspek keamanan dan kepatuhan hukum. Hal ini bisa menjadi pelajaran berharga bagi seluruh ekosistem AI.

Ke depannya, regulator mungkin akan menerapkan aturan yang lebih ketat tentang bagaimana perusahaan AI mengumpulkan, menyimpan, dan melindungi data, baik data pelatihan maupun data pengguna.