AI 음악 Suno 해킹, 코드에 남아 있던 "유튜브 음악 201만 곡"

핵심 요약: AI 음악 생성기 Suno가 해킹당해 소스코드가 유출됐고, 그 코드 안에 유튜브 뮤직 201만 곡을 비롯한 출처별 수집 기록이 남아 있었다고 404 Media가 보도했습니다. "공개된 음악으로 배웠다"던 설명과 달리 출처별 이름표가 붙은 산업 규모의 수집이었고, 진행 중인 음반사 소송의 핵심 쟁점을 정통으로 건드렸습니다.

AI 음악 생성기 Suno(수노)가 해킹당해 소스코드가 유출됐고, 그 코드 안에 어떤 음악을 어디서 얼마나 가져왔는지가 출처별로 기록돼 있었다고 404 Media가 7월 15일 보도했습니다. 함께 유출된 것에는 수십만 명 고객의 개인정보와 결제(Stripe) 정보도 포함된 것으로 전해졌습니다. 왜 이 유출이 단순 보안 사고가 아니라 AI와 저작권 싸움 전체의 분수령으로 읽히는지, 크리에이터 입장에서 무엇을 챙겨야 하는지까지 정리했습니다.

코드에 적혀 있던 숫자들

유출된 코드는 2023~2024년 무렵의 것으로 보이는데, 수집한 데이터가 출처별로 시간 단위까지 정리돼 있었습니다. 보도에 따르면 유튜브 뮤직에서만 201만 3,545곡, 시간으로는 11만 3,879시간 분량입니다. 하루도 쉬지 않고 틀어도 13년치입니다.

출처별 수집 기록

여기에 RSS로 팟캐스트까지 수집한 흔적이 있었습니다. 즉 노래뿐 아니라 사람 목소리 자체가 수집 대상이었다는 뜻입니다.

"공개된 음악"이라는 설명과의 거리

Suno는 그동안 학습 데이터를 "인터넷에 공개된, 품질이 괜찮은 사실상 모든 음악 파일"이라고만 설명해 왔습니다. 그런데 코드 안에서는 이렇게 출처별로 이름표가 붙어 있었던 셈입니다. "공개돼 있다"는 말과 "가져다 써도 된다"는 말 사이의 간극이, 회사 내부 기록으로 드러난 첫 사례에 가깝습니다.

소송의 쟁점을 정통으로 찌른 유출

Suno는 2024년부터 소니·유니버설 등 대형 음반사들과 소송 중입니다. 음반사들은 소송 과정에서 "유튜브에서 곡을 직접 뽑아냈다(스트림 리핑)"는 주장을 추가했는데, 404 Media는 이번에 유출된 데이터가 그 주장을 "확인해준다"고 적었습니다.

이 대목이 중요한 이유가 있습니다. 유튜브에서 음원을 뽑아내는 행위는 단순히 "저작권 있는 음악을 학습했다"보다 한 단계 무거운 문제로 다뤄집니다. 플랫폼의 이용약관과 기술적 보호장치를 우회해 데이터를 손에 넣은 방법 자체가 도마에 오르기 때문입니다. 한편 워너뮤직은 소송을 이어가는 대신 Suno와 라이선스 계약을 맺는 쪽을 택해, 음반사들 사이에서도 대응이 갈리고 있습니다.

판결이 갈린 지점: "배웠느냐"가 아니라 "어떻게 구했느냐"

AI 학습과 저작권을 둘러싼 미국 법원의 판단은 아직 한 방향이 아닙니다. 지난해 나온 두 판결이 방향을 잘 보여줍니다.

같은 학습, 다른 결론

책 데이터로 학습한 AI 회사들을 상대로 한 소송에서, 한 법원(앤트로픽 사건)은 합법적으로 구입한 책으로 학습하는 것 자체는 공정이용이라고 봤습니다. 다만 해적판으로 모은 자료는 별개의 문제로 남겨, 데이터를 구한 경로에 따라 결론이 달라질 수 있음을 보여줬습니다. 비슷한 시기 다른 법원(메타 사건)은 공정이용을 더 폭넓게 인정했습니다.

그래서 싸움의 무게중심이 옮겨갔다

두 판결이 갈리면서 다툼의 핵심은 "AI가 배웠느냐"에서 "그 데이터를 어떻게 손에 넣었느냐"로 옮겨가는 중입니다. 학습 자체가 허용되더라도, 입수 경로가 무단 복제나 우회 수집이었다면 책임을 물을 수 있다는 구도입니다. 이번 유출이 폭로한 것이 정확히 그 "입수 경로"라는 점에서, 진행 중인 소송에 미칠 영향이 작지 않다는 평가가 나옵니다.

크리에이터가 지금 할 수 있는 것

이번 일이 크리에이터에게 말해주는 건 분명합니다. 유튜브에 올린 콘텐츠는 이미 AI 학습의 원료로 다뤄지고 있다는 것. 내 목소리, 내 연주, 내 팟캐스트가 어느 회사의 학습 목록에 들어가 있는지 지금은 확인할 방법이 없고, 이번처럼 해킹으로나 드러나는 게 현실입니다.

채널에서 확인할 수 있는 설정

유튜브는 채널 설정에 제3자 AI 학습 허용 여부 항목을 두고 있고, 기본값은 허용 안 함입니다. 유튜브 스튜디오의 채널 설정에서 한 번 확인해두세요. 다만 이 설정은 "허락을 구하는 회사"에만 의미가 있습니다. 이번 사례처럼 무단으로 긁어가는 수집은 설정과 무관하게 일어난다는 게 이 사건의 불편한 교훈입니다.

AI 음악을 쓰는 입장이라면

거꾸로 AI 음악을 영상 배경음악으로 쓰는 입장에서도 시사점이 있습니다. 학습 데이터의 출처 문제가 정리되지 않은 서비스의 결과물은, 소송 결과에 따라 지위가 흔들릴 수 있습니다. 수익이 걸린 상업 영상이라면 출처와 라이선스가 명확한 음원을 쓰는 게 여전히 안전하고, AI 음악을 쓰더라도 어떤 서비스로 언제 만들었는지 기록을 남겨두는 편이 좋습니다.

자주 묻는 질문

Suno가 내 음악이나 목소리도 학습했는지 확인할 수 있나요?

현재로서는 방법이 없습니다. AI 회사들은 학습 데이터 목록을 공개하지 않고, 이번에도 해킹으로 유출된 내부 기록을 통해서야 규모가 드러났습니다.

AI가 저작권 있는 음악으로 학습하는 건 불법인가요?

아직 법원 판단이 갈려 있습니다. 다만 흐름은 "학습 자체"보다 "데이터를 어떻게 구했느냐"를 따지는 쪽으로 움직이고 있어서, 무단 수집이 확인되면 회사 책임이 무거워지는 방향입니다.

유튜브에 올린 내 콘텐츠가 AI 학습에 쓰이는 걸 막을 수 있나요?

유튜브 스튜디오의 채널 설정에서 제3자 AI 학습 허용 여부를 정할 수 있고 기본값은 허용 안 함입니다. 다만 이 설정은 정식으로 허락을 구하는 회사에만 효력이 있고, 무단 수집까지 막아주지는 못합니다.

Suno로 만든 음악을 유튜브 영상 배경음악으로 써도 되나요?

서비스 약관상으로는 유료 플랜에서 상업적 사용이 허용됩니다. 다만 학습 데이터를 둘러싼 소송이 진행 중인 만큼, 수익이 걸린 영상이라면 라이선스가 명확한 음원과 병행하며 상황을 지켜보는 걸 권합니다.

이번 해킹으로 유출된 고객 정보는 어떤 건가요?

보도에 따르면 소스코드와 함께 수십만 명 고객의 개인정보와 결제(Stripe) 관련 정보가 유출된 것으로 전해졌습니다. Suno 계정이 있다면 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 함께 바꿔두는 게 안전합니다.

출처: 404 Media