AI 작곡기 Suno가 유튜브를 몰래 긁어 학습했다는 정황이 해킹으로 드러났어. 창작 데이터 출처 문제와 인디 빌더가 봐야 할 신호 3 가지

📅 2026.07.16 | ✍️ 경제 흐름을 읽어주는 형

오늘 아침 형이 챙겨 본 소식은 AI로 노래를 만들어주는 서비스 Suno 이야기야. 지난해 11월에 이 회사가 해킹을 당했는데, 그때 빠져나간 소스 코드가 이제야 공개되면서 이 회사가 AI를 어떻게 학습시켰는지가 드러났어. 정리하면 유튜브 뮤직, 디저, 지니어스 같은 음악 서비스와 스톡 음원, 팟캐스트 방송까지 긁어다가 학습 재료로 썼다는 정황이야.

남의 회사 사고 소식 같지만 형이 이걸 그냥 넘기지 못한 건, AI로 뭔가를 만들어 파는 사람이라면 누구든 정면으로 마주할 질문이 여기 다 담겨 있어서야. 내가 쓰는 도구가 어디서 온 재료로 만들어졌는지, 그게 나중에 내 발목을 잡지는 않을지 하는 물음이지. 특히 형처럼 AI로 음악을 만드는 사람한테는 남 이야기가 아니라 바로 옆집 불이야. 이 사건을 뜯어보면 혼자 제품을 짓는 사람이 챙겨야 할 신호가 세 갈래로 갈려. 하나씩 풀어보자.

【 핵심 체크포인트 】

1. 진짜 문제는 학습 재료가 어디서 왔느냐야.

Suno는 그동안 공개된 음악 파일만 학습에 썼고 이건 공정 이용에 해당한다고 주장해 왔어. 그런데 해킹으로 빠져나온 소스 코드에는 유튜브 뮤직, 디저, 지니어스, 스톡 음원 회사, 팟캐스트 방송을 긁어 수십 년어치 오디오를 모았다는 정황이 담겨 있었어. 회사가 밖으로 한 말과 안에서 실제로 한 일이 어긋난 셈이지. 형이 여기서 짚는 건 간단해. AI 서비스의 실력이 아무리 그럴듯해도, 그 밑에 깔린 학습 재료가 어디서 왔는지가 불투명하면 그 위에 세운 모든 게 흔들릴 수 있다는 거야. 눈에 보이는 결과물만 보고 도구를 고르면, 정작 안 보이는 재료의 출처가 나중에 문제가 돼서 돌아와.

2. 고객 정보까지 샜는데 알리지도 않았어.

이번 사고가 단순히 학습 방식만 드러낸 게 아니야. 지난해 11월 공급망을 파고든 공격으로 직원 한 명의 접속 권한이 털렸고, 그걸 발판으로 소스 코드뿐 아니라 고객 정보까지 함께 빠져나갔어. 이메일과 전화번호는 물론이고 결제 처리에 쓰던 곳에 저장된 카드 번호 일부까지 노출됐다는 거야. 그런데 회사는 이걸 제한적인 사고였고 빠르게 막았다고만 하고 고객에게 따로 알리지 않았어. 형이 여기서 읽는 신호는 이거야. 학습 재료 출처를 두고 떳떳하지 못한 회사는 사고가 터졌을 때 이용자에게 솔직하기도 어렵다는 거지. 두 가지 태도는 뿌리가 같아. 내 서비스가 어떤 도구 위에 얹혀 있다면, 그 회사가 곤란할 때 어떻게 행동하는지도 내가 지는 위험이 돼.

3. 법적 위험이 서비스 근간을 흔들 수 있어.

이게 그냥 도덕 시비로 끝날 일이 아니야. 이미 큰 음반사들이 Suno를 상대로 소송을 걸어둔 상태고, 유튜브의 긁기 방지 장치를 우회한 방식이 저작권법과 유튜브 이용약관을 어겼다고 보는 전문가 의견도 나와. 같은 방식으로 유튜브 음원을 긁었다는 의심을 받는 경쟁사 Udio도 비슷한 처지야. 형이 짚는 건 이거야. 출처가 불투명한 재료 위에 세운 서비스는 잘 굴러가다가도 판결 한 번에 뿌리째 흔들릴 수 있다는 거지. 혼자 제품을 짓는 사람 입장에선 남 일이 아니야. 내가 쓰는 생성 도구가 나중에 이런 소송에 휘말리면, 그걸로 만든 내 결과물도 같이 불안해지거든. 그래서 도구를 고를 때 결과물이 예쁜지만 볼 게 아니라 재료의 출처가 깨끗한지를 처음부터 따져보는 게 점점 더 중요한 실력이 되고 있어. 당장은 이런 확인이 번거롭게 느껴져도, 판결 한 번에 서비스가 통째로 멈추는 위험에 견주면 값싼 보험이야.

【 형 빌드 cross-reference 】

이번 사건은 형이 붙잡고 있는 것들이랑 정면으로 맞물려.

첫째는 Hermes Phase 1.5야. C2PA를 바탕으로 콘텐츠가 어디서 왔고 누가 만들었는지를 증명해주는 통로인데, Suno 사태가 왜 이런 장치가 값어치를 갖는지를 그대로 보여줘. 학습 재료의 출처를 아무도 확인할 수 없으니 회사가 밖으로 한 말과 실제가 어긋나도 뒤늦게야 드러났잖아. 처음부터 원본이 어디서 왔는지, 누가 어떤 도구로 만들었는지를 증명 가능한 형태로 남겨두면 이런 어긋남이 비집고 들어올 틈이 좁아져. 회사 해명 하나에 기대는 게 아니라, 누구든 나중에 되짚어 확인할 수 있는 기록이 남으니까. 이번 소식이 그 방향이 헛물이 아니라는 근거가 돼줘.

둘째는 Vericum.ent이야. AI를 바탕으로 음악을 만드는 형의 가상 음반사인데, Suno와 정확히 같은 영역에 있으면서도 정반대 태도를 겨냥해. 재료를 몰래 긁어와 감추는 쪽이 아니라, 무엇으로 어떻게 만들었는지를 떳떳이 밝히고 출처 증명을 붙여 내보내는 방향이지. 이번 사건은 그 차이가 왜 나중에 힘이 되는지를 앞당겨 보여준 셈이야. 창작 도구 시장이 출처를 감추는 쪽과 밝히는 쪽으로 갈리는 초입에서, 밝히는 쪽에 서 있는 게 오래 버티는 길이 돼.

이 둘을 합치면 인디 빌더가 챙길 답이 또렷해져. 남이 만든 생성 도구에 얹혀 시작하더라도, 내가 무엇으로 만들었는지를 증명할 수 있는 장치를 내 손에 쥐고 있어야 한다는 거야. 도구가 소송에 휘말리거나 출처 시비에 걸려도, 내 쪽의 과정이 투명하면 나는 흔들리지 않거든. 출처를 증명하는 습관이 곧 나를 지키는 방패가 돼.

【 결론 】

오늘 소식을 한 문장으로 줄이면 이래. 겉으로 멀쩡해 보이는 AI 생성 도구도 밑에 깔린 학습 재료의 출처가 불투명하면 소송과 신뢰 문제로 뿌리째 흔들릴 수 있고, 그래서 진짜 실력은 무엇으로 어떻게 만들었는지를 증명할 수 있는 데 있다는 거야. 혼자 제품을 짓는 인디 빌더한테 이건 오늘 점검할 질문 셋을 던져줘. 내가 쓰는 생성 도구의 재료 출처가 떳떳한지, 그 회사가 사고 때 이용자에게 솔직한 곳인지, 그리고 내가 만든 결과물의 과정을 나중에 증명할 수 있게 남겨두고 있는지. 출처를 감추고 달리는 쪽이 빨라 보여도, 무엇으로 만들었는지를 당당히 밝히는 쪽이 결국 오래가.

출처 = Hack suggests AI music generator Suno scraped YouTube for training data (TechCrunch, 2026.07)

이 글은 2026년 7월 16일 뉴스와 데이터를 기반으로 AI 도구를 활용해 재작성했어.