AI 음악 생성 플랫폼 Suno가 유튜브 뮤직, Deezer, Genius 등 주요 음원 플랫폼에서 수백만 곡을 긁어모아 AI 학습에 활용했다는 정황이 해킹 유출 파일을 통해 드러났다. 404 Media가 보도한 이 내용은, 그동안 학습 데이터 출처를 공개하지 않아온 Suno의 실제 수집 규모를 처음으로 구체적으로 보여준다.
유출 자료를 제공한 해커 'ellie.191'이 공유한 파일에는 2023~2024년 Suno 소스코드와 함께 유튜브 뮤직, Deezer, Genius, Pond5, Jamendo, Freesound, 국제악보도서관(IMSLP) 등에서 오디오 파일을 수집하는 스크래핑 코드가 포함됐다. 유튜브 뮤직 관련 파일에는 마지막 업데이트 시점 기준으로 수집한 클립이 201만 3,545개에 달한다고 기록돼 있다. 또 다른 파일에 따르면 유튜브 뮤직에서 수십만 시간 분량의 오디오를, Deezer·Genius·IMSLP·Jamendo·Pond5에서 수천 시간 분량을, Freesound와 MuseScore 가사에서 수백 시간 분량을 각각 수집했다. PodcastIndex를 통해 약 100만 시간 분량의 팟캐스트 다운로드도 시도한 것으로 나타났다.
특히 Suno가 제3자 업체 Bright Data를 통해 유튜브에서 음악을 스크래핑하고, 보컬만 분리된 아카펠라 버전을 집중 수집한 정황도 코드에서 드러났다. 이는 미국 음반산업협회(RIAA)가 제기한 소송에서 Suno가 유튜브의 저작권 보호 장치를 의도적으로 우회해 '스트림 리핑'을 했다고 주장한 내용과 맞닿는다.
Suno는 그동안 공개 자료에서 "공개된 음원 파일과 관련 메타데이터를 학습에 활용했다"는 입장을 유지해왔다. RIAA 소송에서도 저작권 보호 음원을 학습에 쓴 사실 자체는 인정하면서, 이것이 공정 이용(fair use) 원칙에 따라 합법이라고 주장하고 있다. 법원이 이 논리를 받아들일지는 아직 판단이 나지 않았다.
이번 유출에는 고객 정보도 포함됐다. 이메일 주소, 전화번호, Stripe 결제 정보가 접근된 것으로 알려졌으며, 404 Media가 연락한 일부 고객은 가입 사실을 확인하면서도 Suno로부터 보안 침해 통보를 받은 적이 없다고 밝혔다. Suno는 2025년 11월 보안 사고를 인지했고 즉시 조치했다며, "더 이상 사용하지 않는 구버전 소스코드가 주로 관련됐고 민감한 개인정보는 침해되지 않았다"고 밝혔다. 또 "관련 개인정보보호법상 개별 통보 의무가 발생하지 않는다고 판단했다"고 덧붙였다.
이번 사안은 국내 음악 창작자에게도 무관하지 않다. 유튜브 뮤직과 Deezer에는 국내 독립 음악인의 음원도 대거 유통되고 있다. AI 기업이 플랫폼을 통해 이 음원을 동의 없이 수집했다면, 창작자는 자신의 음악이 AI 학습에 쓰였는지조차 알 방법이 없다. 국내에서도 AI 학습 데이터의 투명성과 창작자 동의 절차를 둘러싼 논의가 필요한 시점이다.
