수노 AI 해킹으로 소스코드 유출, 유튜브서 수십만 시간 음원 수집 확인

AI 음악 생성 서비스의 가장 은밀한 내부 데이터가 해커의 손에 의해 세상에 드러났습니다.

그동안 대형 음반사들의 저작권 소송에 맞서 공개된 인터넷 데이터를 공정 이용했을 뿐이라고 맞서온 수노의 주장을 뒤흔드는 증거가 유출된 것입니다. 404 미디어가 입수한 수노의 내부 소스코드에는 이들이 어떤 플랫폼에서 음악을 긁어모았는지가 상세히 기록되어 있었습니다.

38만 시간 분량의 음악 무단 수집 정황

ellie.191이라는 이름의 해커는 공급망 공격으로 직원 계정을 탈취해 2023년과 2024년의 수노 내부 코드 저장소에 접근했다고 밝혔습니다.

유출된 코드에는 유튜브 뮤직, 디저, 지니어스는 물론 상업용 음원 사이트인 폰드5, 자멘도, 프리사운드, 클래식 악보 도서관인 IMSLP 등에서 오디오를 긁어오도록 지시하는 스크립트가 포함되어 있었습니다. 유튜브 뮤직 전용 파일 하나에만 마지막 업데이트 기준 201만 개가 넘는 음악 클립을 수집했다는 기록이 적혀 있었습니다.

데이터 규모는 최소 38만 시간 분량의 오디오에 달합니다. 유튜브 뮤직 관련 데이터만 26만 시간 이상이었고, 폰드5에서 6만 2천 시간, 디저와 지니어스 등에서도 수만 시간이 포함되었습니다. 보컬 학습을 위해 유튜브에서 아카펠라 트랙을 별도로 검색해 목소리만 추출하거나, 팟캐스트인덱스를 통해 약 100만 시간의 팟캐스트를 내려받으려 한 코드도 발견되었습니다.

특히 유튜브의 스크래핑 방지 조치를 우회하기 위해 브라이트 데이터라는 프록시 서비스를 이용한 정황도 포착되었습니다. 이는 미국음반산업협회가 제기한 기술적 보호조치 무력화 주장을 뒷받침하는 핵심 근거입니다.

여기에 더해 해커는 수십만 명의 고객 이메일과 전화번호, 스트라이프 결제 정보 일부에도 접근했습니다. 수노 측은 2025년 11월 보안 침해 사실이 있었음을 인정하면서도, 이미 폐기된 구형 코드 중심의 제한적 사고였으며 민감 정보 유출은 없어 고객 고지 대상이 아니었다고 해명했습니다.

왜 중요한가

수노를 이용해 온 창작자나 사용자에게 이번 사태는 실질적인 경고음입니다. 유료 결제 정보와 개인정보가 유출되었음에도 제때 안내조차 받지 못했을 뿐 아니라, 수노로 만든 작업물의 상업적 활용 역시 향후 거센 법적 분쟁의 불씨를 안게 되었습니다.

업계 전체로 보면 생성형 AI의 공정 이용 방어 논리가 뿌리부터 흔들리는 계기가 될 수 있습니다. 웹에 공개된 데이터를 단순히 학습했다는 주장과 달리, 프록시를 동원해 플랫폼의 차단막을 뚫고 스트림 리핑을 감행한 사실은 저작권 침해를 넘어 디지털 밀레니엄 저작권법의 기술 보호조치 우회 금지 조항에 정면으로 걸릴 가능성이 높습니다.

기술적으로는 무리한 데이터 수집을 감행하면서 정작 내부 보안 관리에는 실패해 핵심 증거를 통째로 털린 수노의 행보는 매우 치명적으로 보입니다. 음반사들과의 법정 공방이 격화되는 상황에서 이번에 유출된 소스코드는 상대 진영에 가장 결정적인 무기를 쥐여준 셈입니다.