Suno 소스코드 유출과 AI 학습데이터 수집 논란

AI 음악 생성 서비스 Suno가 해킹을 당해 내부 소스코드가 외부로 탈취된 사실이 뒤늦게 알려졌습니다.

시간순 사실 관계

Suno 측 설명에 따르면 보안 사고가 발생한 시점은 2025년 11월이며, 회사는 이를 “제한적인 보안 사고”로 규정하고 당시 신속하게 차단했다고 밝혔습니다. 사건은 탈취된 자료가 언론에 제공되면서 2026년 7월 15일 본격적으로 보도됐습니다. (404 Media)

현재까지 확인된 내용은 해커가 확보한 소스코드와 내부 자료를 404 Media에 전달했고, 매체가 이를 분석해 보도했다는 것입니다.

보도된 내용

보도에 따르면 해당 자료에는 Suno가 AI 학습용 음악과 가사를 확보하기 위해 YouTube Music, Deezer, Genius, 음원·효과음 라이브러리와 팟캐스트 RSS 등을 수집하는 코드와 지침이 포함돼 있었습니다. 한 파일에는 YouTube Music에서 수집한 음악 클립이 약 201만 개로 기록돼 있었다고 합니다. (404 Media)

유출된 코드에는 Bright Data의 프록시 서비스를 이용해 YouTube 요청을 우회·분산한 정황과, 보컬 학습을 위해 아카펠라 버전의 노래를 찾도록 한 것으로 보이는 부분도 포함됐습니다.

왜 중요한가

이번 사건이 중요한 이유는 단순한 기업 보안 사고를 넘어, 생성형 AI 기업이 학습데이터를 어디서 어떤 방식으로 확보했는지를 보여주는 내부 자료가 등장했기 때문입니다.

Suno는 이전부터 공개된 인터넷상의 음악을 AI 학습에 이용한 것은 미국 저작권법상 ’공정 이용’이라고 주장해 왔습니다. 반면 음반사들은 허가 없이 저작물을 복제하고 스트리밍 서비스의 보호조치를 우회했다며 저작권 침해라고 주장하고 있습니다. (Reuters)

음반사들은 Suno가 YouTube의 복제 방지 기술을 우회해 음원을 내려받는 이른바 스트림 리핑을 했으며, 이것이 저작권 침해뿐 아니라 미국 DMCA의 기술적 보호조치 우회 금지 조항도 위반한다고 주장하고 있습니다. 유출 코드는 이 주장을 뒷받침할 수 있는 구체적인 수집 경로와 도구를 제공했다는 점에서 법적으로 중요합니다.

따라서 이번 사건은 AI 기업의 학습데이터 투명성, 창작자의 동의와 보상, 이용자 개인정보 보호 문제를 다시 수면 위로 끌어올린 중대한 사건인 것은 분명해 보입니다.