AI 음악 생성 플랫폼 Suno의 내부 소스코드가 해킹으로 유출됐고, 그 안에서 학습 데이터의 출처를 시사하는 자료가 나왔다. 매체 404 Media가 해커(가명 ellie.191)로부터 2023~2024년 시점의 소스코드를 입수해 보도했고, MusicRadar · MusicTech 등 주요 음악 기술 매체들이 잇따라 이를 확인 보도했다.
유출 자료가 시사하는 내용은 그동안 소송에서 추정으로만 다뤄지던 것들이다. Suno가 YouTube Music, Deezer, Genius, 스톡 음원 라이브러리 등에서 수백만 곡 규모의 음원 · 가사를 수집해 모델을 학습시켰다는 정황이 구체적인 수치와 함께 담겨 있었다는 것이다.
이 수치와 정황은 법원이 인정한 사실이 아니라 해킹으로 유출된 자료에 근거한 보도상의 주장이다. 다만 Suno 스스로도 과거에 학습 데이터가 ‘공개 인터넷에서 접근 가능한, 쓸 만한 품질의 사실상 모든 음악 파일’을 포함한다고 인정한 바 있어, 이번 유출은 그 진술에 구체적인 근거를 붙여준 셈이 되었다.
어떻게 뚫렸고, 무엇이 더 유출되었나
해커는 404 Media에 침투 경로를 직접 설명했다. Shai-Hulud 웜을 이용한 공급망 공격으로 직원 한 명을 뚫었고, 그 계정에서 GitHub와 클라우드 서비스 자격 증명을 수확해 소스코드에 접근했다는 것이다. 서버를 정면으로 깬 것이 아니라 개발자 한 명의 계정이 들어가는 입구가 되었다.
학습 데이터 얘기에 가려져 있지만, 유저들에게 더 직접적인 대목은 따로 있다. 해커는 수십만 명 규모 Suno 사용자의 결제 정보와 개인정보에도 접근할 수 있었다고 밝혔다. 은행 정보 · 전화번호 · 주소가 포함된 범위였고, 본인은 악의적으로 접근한 것은 아니라고 주장했다.
만약 Suno 계정을 쓰고 있다면 본인 계정 보안을 먼저 점검하는 것이 좋겠다. 비밀번호를 다른 서비스와 동일하게 사용중이라면 즉시 교체하고, 추가 인증 설정 및 등록된 카드의 이상 결제를 확인하자.
쟁점 1 — 어떤 음원이 얼마나 수집됐나
유출된 데이터셋 목록이 시사하는 수집 규모는 다음과 같다. 모두 404 Media가 확인한 파일 기준 수치다.
- YouTube Music : 113,879시간 분량, 최소 2,013,545개 음악 클립
- 스톡 음원 라이브러리 Pond5 : 62,117시간
- Genius : 17,615시간 — Genius는 음원을 직접 호스팅하지 않는 가사 사이트지만, Apple Music 구독자는 사이트에서 곡을 재생할 수 있다
- Deezer : 12,287시간
- Podcast : PodcastIndex를 활용해 약 100만 시간 분량 다운로드 시도
- 보컬 모델 : YouTube의 아카펠라 버전 음원으로 학습한 정황
404 Media가 공개한 코드 스크린샷에는 수집 소스 목록이 genius_hq, youtube_music, freesound, jamendo, imp, deezer, ytm_tagged 같은 항목명으로 그대로 나열돼 있었다.
쟁점 2 — Suno의 입장
Suno의 공식 입장은 기존 입장의 반복에 가깝다. 학습 데이터가 ‘공개된 인터넷에서 접근 가능한 음악 파일’이라는 것. 그리고 목표는 남의 음악을 복제하는 것이 아니라 새로운 음악 창작 지원이라는 것이다.
공개 서류에서 밝혀 왔듯이, Suno의 AI 모델은 공개 인터넷의 서드파티 웹사이트에서 접근 가능한 음악 파일과 관련 메타데이터로 학습됐다
Suno 대변인, 404 Media에 보낸 공식 입장
법적 방어 논리는 공정 이용(Fair Use)이다. 저작물을 AI 학습에 복제하는 행위는 미국 저작권법상 제한적 · 변형적 이용으로 보호받아야 한다는 주장으로, CEO Mikey Shulman은 2024년 블로그에서 이를 록 음악을 듣고 자라 새로운 록 음악을 쓰는 아이에 비유했다.
배우는 것은 침해가 아니다.
Mikey Shulman, Suno CEO (2024년 공식 블로그)
(Learning is not infringing)
하지만 반대 진영의 입장은 훨씬 더 날카롭다. RIAA(Recording Industry Association of America)는 2024년 소장에서 ‘상상하기 어려운 규모의 고의적 저작권 침해’라 규정했고, YouTube의 복제 방지 기술을 우회한 ‘스트림 리핑(Stream Ripping)’을 문제 삼았다. 올해 2월 출범한 아티스트 연대 캠페인 ‘Say No To Suno’는 공개 서한에서 Suno를 ‘뻔뻔한 강탈(Smash and Grab) 플랫폼’이라 불렀다.
양쪽 주장을 들어볼 때 핵심 질문은 하나다. ‘듣고 배우는 것’과 ‘복제해 저장하는 것’의 경계를 어디에 두느냐. 그것을 법으로 어떻게 판단할 것이냐의 문제다. 사람의 학습에 빗대는 Suno CEO의 비유는 직관적이지만, 서버에 원본 파일을 대량 복제하는 행위가 선행된다는 점에서 법원이 이를 같은 잣대로 적용할지 잘 모르겠다.
쟁점 3 — 소송전은 지금 어디까지 왔나
핵심 소송은 2024년 6월 Universal Music Group · Sony Music Entertainment · Warner Music Group과 RIAA가 함께 제기한 저작권 소송이다. 대상은 Suno 단독이 아니라 Suno와 Udio 양쪽이었고, 이 소송은 현재도 진행 중이다. 이번 유출 자료는 소송의 핵심 쟁점인 ‘무엇으로 학습했나’에 대한 정황 증거가 될 수 있어, 향후 재판 과정에서 어떤 식으로든 다뤄질 가능성이 있다.
다만 소송 중 대립 구도의 변화가 있었다. 2025년 11월 Warner Music이 ‘빅3’중 처음으로 Suno와 합의하고 라이선스 파트너십으로 전환했다. 허락한 아티스트에 한해 이름 · 목소리 · 초상을 AI 생성에 쓸 수 있게 하는 옵트인 구조로, 아티스트와 작곡가가 사용 여부와 방식을 완전히 통제한다는 것이 Warner의 설명이다.
그리고 Suno는 이 와중에도 유료 구독자 200만명 이상, 4억 달러 이상 투자 유치, 기업가치 54억 달러라는 거대한 기업으로 성장했다. 법적 리스크와 상업적 성장이 동시에 커지는, AI 업계 특유의 현상이다.
쟁점 4 — 프로 오디오 업계에서의 의미
첫째, 납품 결과물의 법적 권리 리스크가 있다. 광고 · 방송 · 게임 납품에 AI 생성 음원을 쓰는 사례가 늘고 있는데, 학습 데이터의 적법성 분쟁이 살아 있는 플랫폼의 생성물은 추후 법적인 심사 대상이 될 수 있다. 계약서에 AI 생성물 사용 여부와 책임 소재를 명시하는 관행이 빠르게 도입될 것이다.
둘째, 작업자의 결과물 업로드 방식의 변화다. 이번 유출은 Youtube, 스톡 라이브러리, 팟캐스트 RSS까지 수집 경로로 이용되었음을 시사한다. 따라서 자기의 작업물을 어떤 플랫폼에, 어떤 퀄리티로 공개할지에 대한 판단 기준이 달라질 수 밖에 없다.
셋째, 업계 차원의 대응이 발표되었다. 7월 10일 IFPI · RIAA 등 8개의 단체가 공동으로 음원의 생성형 AI 사용을 표시하는 라벨링 프로그램을 발표했다. 핵심은 ‘AI-Generated’와 ‘AI-Assisted’를 구분하는 자율 표시 체계로, 디지털 음악 서비스와 파트너사에 걸쳐 통일된 방식으로 적용된다. AI-Generated는 리드 보컬 · 핵심 악기 연주 또는 곡 전체를 AI가 생성한 경우, AI-Assisted는 사람이 리드 보컬 · 주요 악기를 연주하고 AI는 일부 요소에만 쓴 경우다. IFPI CEO Vikki Oakley와 RIAA 회장 Mitch Glazier는 공동 성명에서 팬들이 자기가 듣는 음악에 생성형 AI가 쓰였는지, 어떻게 쓰였는지를 알고 싶어 한다고 밝혔다.
두 가지 짚어둘 점이 있다. 하나는 이 표시가 강제가 아닌 자발적(Voluntary) 참여 방식이라는 점, 다른 하나는 현재 대상이 음원(Sound Recordings)에 한정되고 가사 · 작곡 · 뮤직비디오 · 커버아트 등 다른 요소는 아직 포함되지 않는다는 점이다. Deezer는 일일 신규 업로드의 44%가 AI 생성물이라고 밝혔고, Apple Music도 업로드의 3분의 1 이상이 100% AI라고 확인했다. 이러한 수치로 봤을 때 앞으로 대부분의 음원에 ‘AI 사용’ 이 표기되어있는 시대가 열리지 않을까 생각해본다.
나는 이 문제를 어느 한쪽의 입장에서만 바라 보지는 않는다. AI라는 도구 자체는 중립이고, 라이선스가 해결된 데이터로 제대로 학습한 모델이라면 작업자 입장에서도 충분히 쓸모 있는 도구가 될 수 있다고 본다. 문제는 동의 없이 남의 결과물을 가져다 사용한 방식에 있다.
Suno 측이 내세운 ‘배우는 것은 침해가 아니다’라는 비유는 완전히 틀린 말은 아니라고 생각한다. 다만 사람의 학습에도 이미 안전장치가 있다. 배운 결과물이 원본과 똑같거나 지나치게 비슷하게 나오면 표절이라는 법적 잣대가 작동한다. 그렇다면 AI의 학습 역시, 그 학습을 바탕으로 나온 결과물에 대해 그에 상응하는 법적 장치가 마땅히 있어야 한다고 생각한다. ‘배우는 건 자유’라는 논리가 ‘결과물도 무제한 자유’로 곧장 이어지는건 아니라는 입장이다.
특히 작업자 입장에서는 남의 일이 아니다. 내가 만든 작업물이 어느 순간 학습 데이터로 들어갈 수 있고, 그렇게 학습된 모델이 내 결과물과 아주 비슷한 형태의 생성물을 내놓을 수도 있다. 이건 먼 미래의 가정이 아니라 지금 실제로 벌어지고 있는 일이다.
기술을 무작정 막자는 것도, 무제한 허용하자는 것도 답은 아니라고 본다. 창작자 · 플랫폼 · 법제도가 더 심도 있는 논의를 토대로 협의점을 찾아나가는 것, 그게 지금 가장 필요한 일이라고 생각한다.
관련 링크
↗️ MusicRadar — Suno scraped millions of songs, according to hacked data
답글 남기기