해커가 404 Media에 Suno의 내부 자료를 넘겼는데, 이 자료는 AI 음악 생성기가 학습용 오디오를 어디서 얻었는지 항목별로 보여주는 것으로 보이며, 가장 큰 단일 출처로 YouTube Music이 적혀 있습니다. 7월 15일 Jason Koebler가 보도한 이 내용은 Suno가 바로 그런 행위를 했다고 주장하는 음반사들로부터 소송을 당한 와중에 나왔습니다.
무엇이 유출됐나
이 자료는 2025년 11월의 공급망 공격에서 비롯됐으며, 당시 한 직원의 자격 증명이 탈취되고 Suno의 소스코드가 노출됐습니다. 해커가 제공한 것은 2023년과 2024년의 소스코드로, 전략 메모나 경영진 간 서신이 아니라 스크래핑 설정 파일과 데이터셋 범위 문서였습니다. 이메일과 전화번호를 포함한 고객 데이터도 이 유출에 휘말렸습니다. Suno는 11월이라는 시점을 확인했습니다. 다른 매체는 해당 파일을 독립적으로 검증하지 못했습니다.
파일에 적힌 수치
문서에는 총 113,879시간에 달하는 2,013,545개의 YouTube Music 클립이 적혀 있으며, 별도의 "YTM Tagged" 세트는 152,162시간으로 표시돼 있습니다. 그 아래에는 Pond5 62,117시간, IMSLP 19,514시간, Genius 17,615시간, Deezer 12,287시간, Jamendo 3,726시간, Freesound 410시간이 나옵니다. 약 100만 시간 분량은 RSS 피드를 통해 약 42만 개 팟캐스트에서 가져온 것으로 나타났습니다. YouTube Music, Deezer, Genius 및 스톡 라이브러리 측 대변인들은 404 Media의 टिप्पणी 요청에 응하지 않았습니다.
Suno의 입장
Suno는 스크래핑을 부인하지 않았습니다. 회사 대변인은 "당사가 공개적으로 제출한 서류와 공시에서 밝혔듯이, Suno의 AI 모델은 제3자 웹사이트에 공개적으로 존재하는 음악 파일과 관련 메타데이터를 학습했다"고 말하면서, 2025년 11월 회사가 "Suno가 제한적 보안 사고의 대상이 되었으며 이는 신속하게 차단됐다"고 판단했다고 덧붙였습니다. 대변인은 이 사고가 "주로 현재는 더 이상 사용되지 않는 오래된 소스코드"와 관련됐으며 민감한 개인정보는 유출되지 않았다고 말했습니다. 법정에서 Suno는 이미 "공개 인터넷에서 접근 가능한 합리적 품질의 사실상 모든 음악 파일"을 학습했다고 인정한 바 있습니다.
파일이 법적으로 중요한 이유
레이블들의 2025년 9월 수정 소장은 DMCA §1201의 우회 방지 이론을 추가했습니다. 즉 Suno가 YouTube의 "rolling cipher"를 우회해 오디오를 추출했다는 주장입니다. RIAA는 작품별 손해배상 외에 우회 행위당 2,500달러를 요구하고 있습니다. Suno는 이 cipher가 접근 통제 장치가 아니라 복제 통제 장치라고 주장합니다. Warner Music은 2025년 11월 합의해 카탈로그를 라이선스하고 Songkick을 Suno에 매각했으며, UMG와 Sony는 여전히 원고로 남아 있습니다. 아직 어떤 법원도 공정 이용이나 우회 여부에 대해 판단하지 않았습니다.