AI로 만든 노래가 실제 밴드 페이지에 붙었다…스트리밍 배포의 허점

404 Media의 실험은 AI 음악이 문제를 일으키는 방식이 단순히 ‘그럴듯한 노래를 만드는 일’에 있지 않다는 점을 보여준다. 더 큰 취약점은 음원 유통사가 스트리밍 서비스에 발매 정보를 넘기는 과정에서, 기존 아티스트 페이지에 새 곡을 붙일 권한이 누구에게 있는지 충분히 확인하지 못할 수 있다는 데 있다. 1

약 5분 만에 제출된 AI 곡, 며칠 뒤 실제 밴드 페이지에

404 Media 기자는 AI 음악 생성 도구 Udio로 곡을 만든 뒤 DistroKid를 통해 약 5분 만에 **‘Riding High’**라는 제목으로 배포했다. 이후 며칠 안에 이 곡은 브루클린 펑크 밴드 Lathe of Heaven이 알지 못하는 사이 Spotify, Apple Music, Tidal, Amazon Music의 해당 밴드 공식 아티스트 페이지에 나타났다. 1

여기에는 밴드 계정 탈취가 필요하지 않았다. 배포사가 음원 파일과 발매 메타데이터를 각 스트리밍 서비스로 전달하는 통상적인 유통 경로를 이용한 것이다. Engadget은 이 결과를, 기존 아티스트의 카탈로그에 합성 트랙을 직접 삽입할 수 있게 하는 배포상의 허점으로 설명했다. 19

‘아티스트 페이지 매핑’과 ‘발매 권한 확인’은 다르다

스트리밍 서비스는 새 발매물을 올바른 아티스트 페이지에 연결해야 한다. DistroKid는 업로더가 제출 양식에서 서비스별 아티스트 페이지를 지정할 수 있다고 안내하면서도, 최종적인 아티스트 페이지 매핑은 각 서비스가 처리한다고 밝힌다. 28

문제는 업로더가 제공한 이름이나 페이지 연결 정보가 실제 권한 검증을 대신할 때 생긴다. 악의적 업로더가 기존 유명 아티스트의 프로필에 곡을 연결하면, 청취자에게는 별도 사칭 계정이 아니라 그 아티스트의 정식 디스코그래피에 새로 추가된 음악처럼 보일 수 있다.

물론 이 문제는 같은 이름을 쓰는 아티스트끼리의 단순 혼동에서도 발생한다. DistroKid는 내 음악이 잘못된 페이지에 있거나 다른 아티스트의 음악이 내 페이지에 올라왔을 때 수정 요청을 내는 Fixer 도구를 제공한다. 다만 서비스마다 별도의 요청이 필요하다. 24 이런 사후 수정 절차는 잘못된 연결을 바로잡을 수는 있어도, 무단 발매가 청취자에게 노출되기 전 차단하는 장치는 아니다.

사기 업로더가 노릴 수 있는 것은 로열티다

독립 배포사를 통해 곡을 올린 계정은 일반적으로 해당 발매에서 발생한 스트리밍 로열티를 받을 위치에 놓인다. 아티스트 사칭 사례를 다룬 보도에 따르면, 독립 배포사는 스트리밍 수익을 아티스트나 권리자에게 지급하는 구조이므로 사기 업로더가 발매를 자신의 것으로 주장하고 재생을 유도할 금전적 동기가 생긴다. 22

인위적 재생이 더해지면 피해 가능성은 커진다. DistroKid는 봇 등을 이용해 재생 수를 늘리는 행위를 인위적 스트리밍으로 규정하며, 인위적 재생 비중이 높은 발매물은 서비스에서 삭제되고 해당 재생으로 발생한 로열티도 지급되지 않을 수 있다고 설명한다. 27

그러나 재생이 발생한 뒤 삭제하거나 수익을 보류하는 일과, 애초에 무단 발매가 실제 아티스트 프로필에 연결되기 전에 막는 일은 다르다.

생성형 AI가 키운 ‘대량 생산’의 문제

아티스트 페이지 오연결, 무단 업로드, 스트리밍 사기는 생성형 AI 이전에도 존재했다. AI는 이 문제의 비용과 속도를 바꿨다. 짧은 시간에 값싸고 소모적인 트랙을 대량으로 만들 수 있어, 악용자가 수많은 배포·프로필 매칭 경로를 시험할 여지가 커졌기 때문이다.

다만 규모 수치는 정확히 구분할 필요가 있다. 제공된 근거만으로 Spotify에 매일 AI 곡 5만 곡이 올라온다는 플랫폼 검증 수치를 단정할 수는 없다. 공개 보도에 따르면 Deezer는 2026년 4월 기준 하루 완전 AI 생성 트랙 7만5,000곡이 유입되며, 이는 일일 업로드의 44%라고 추정했다. 5051 Spotify는 별도로 12개월 동안 ‘스팸성 트랙’ 7,500만 곡 이상을 삭제했다고 밝혔지만, 이는 하루 AI 업로드 수가 아니다. 5659

실제 아티스트 정체성에 의심스러운 음악이 연결된 사례도 보고됐다. 가디언은 재즈 음악가 제이슨 모란이 스트리밍 플랫폼에서 AI 사칭의 표적이 된 아티스트 중 한 명이라고 보도했다. 56 또 연구자 오데트 차일드는 테일러 스위프트와 사망한 재즈 음악가들을 포함해 실제 아티스트에게 귀속된 가짜 AI 트랙 300곡 이상을 찾아냈다고 전해졌다. 48

피해는 로열티 손실만이 아니다

무단 발매는 팬에게 아티스트가 만들지 않은 음악을 그 사람의 작품으로 믿게 할 수 있다. 아티스트의 발매 이력은 청취자뿐 아니라 추천 시스템, 언론, 협업자에게도 그 음악가를 이해하는 자료가 된다. 여기에 가짜 곡이 끼어들면 평판과 창작 주체성 모두에 손상이 갈 수 있다.

Lathe of Heaven 사례의 핵심도 여기에 있다. 문제의 곡은 별도의 모방 계정이 아니라 이미 존재하는 밴드 정체성 아래 표시됐다. 설령 재생 수익이 크지 않더라도 밴드의 평판, 팬의 신뢰, 작품의 저작 주체성은 위험에 놓일 수 있다. 1

플랫폼이 나중에 곡을 내리더라도, 이미 생긴 혼동이나 아티스트가 직접 발견·기록·이의 제기해야 하는 부담까지 완전히 되돌리기는 어렵다.

Spotify의 보호 기능, 진전이지만 빈틈도 남아

Spotify는 Spotify for Artists 내 선택형 기능인 Artist Profile Protection을 도입했다. 보호 기능을 켠 아티스트에게 자신의 프로필로 음악이 전달됐음을 알리고, 잘못 연결된 발매물에서 자신을 제거할 수 있게 하는 기능이다. 3242

이는 사후 신고보다 검토 시점을 앞당긴다는 점에서 의미가 있다. Spotify에 따르면 보호 대상 아티스트는 신뢰하는 배포사에 전달할 수 있는 고유한 아티스트 키를 받는다. 베타 기간에는 대부분의 배포업체에서 들어오는 발매물이 승인 또는 이 키를 필요로 하지만, 모든 배포업체가 같은 방식으로 적용되는 것은 아니다. 36

한계도 분명하다.

• 기능은 선택형이며, 현재 제한된 아티스트 그룹에만 베타로 제공된다. 32
• 베타에서는 모든 배포업체가 동일하게 적용되지 않는다. 36
• Spotify용 기능이므로, 404 Media 실험에서 영향을 받은 Apple Music·Tidal·Amazon Music까지 자동으로 보호하지는 않는다. 1
• 아티스트가 검토·삭제할 권한을 얻는 것과, 배포사가 기존 아티스트 정체성에 새 발매를 연결하기 전에 권한을 보편적으로 확인하는 것은 별개의 문제다.

Spotify의 Verified by Spotify 배지는 해당 아티스트 프로필이 회사의 진정성·신뢰 기준에 따라 검토됐다는 신호다. 34 하지만 이 배지만으로 그 프로필에 새로 전달되는 모든 곡이 아티스트의 승인을 받았다는 보증이 되지는 않는다.

필요한 것은 ‘사후 정리’보다 앞선 권한 검증

이번 보도가 제시하는 원칙은 비교적 단순하다. 기존 아티스트 프로필에 새 발매를 올리는 요청은, 이름 일치나 라우팅 지시만으로 처리하기보다 더 강한 권한 증명을 요구해야 한다는 것이다.

신뢰할 수 있는 배포사 관계, 아티스트가 관리하는 승인 키, 발매 전 알림, 분쟁이 생겼을 때 서비스 간에 신속히 매핑을 바로잡는 절차를 함께 갖추는 방식이 더 견고할 수 있다. Spotify의 베타 기능은 그 방향의 한 걸음이지만, Lathe of Heaven 실험은 신고와 제한적 옵트인 보호만으로는 의미 있는 공백이 남는다는 점을 보여준다. 136

현재로서는 아티스트가 각 스트리밍 프로필을 수시로 확인하고, 아티스트 관리 계정을 확보하며, 오연결을 발견하면 배포사와 플랫폼의 수정 절차를 신속히 이용하는 것이 현실적인 대응이다. 2432 다만 이는 오류나 공격의 노출 시간을 줄이는 조치일 뿐, 유통 단계에서 더 강한 신원·권한 확인이 필요하다는 과제를 없애지는 못한다.