수노 연동은 왜 깨지기 쉬운가 — 세션과 규격의 차이

내려받기에 상한을 두는 수노의 새 정책이 9월 3일 발효된다. 이용약관도 함께 손질된다. 정책 자체는 요금과 권리의 문제로 읽히지만, 기술 쪽에서 같이 봐야 할 항목이 하나 더 있다. 이 서비스에는 공개 API도, 공개 MCP도 없다. 외부에서 이 서비스의 기능을 프로그램으로 부를 공식 통로가 열려 있지 않다는 뜻이다. 통로가 없는 곳에서도 연동은 만들어진다. 다만 만들어지는 방식이 다르고, 그 방식의 수명은 서비스 쪽 사정에 묶인다. 정책이 바뀌는 시점은 그 사실이 드러나는 시점이기도 하다.

아보카도 AI 음악 서비스에서 생성한 곡의 커버 이미지

▲ 연동이 성립하는 자리를 보면 그 연동이 얼마나 오래 갈지도 함께 보인다. 사진=Abocado AI 제공

공개된 통로가 없다는 확인

사실 관계부터 좁힌다. 변경 내용은 수노 공식 블로그에 게시돼 있다. 여기서 다룰 것은 한도 숫자가 아니라 그 서비스가 외부에 무엇을 열어 두었는가다.

자기 프로그램에 붙일 접근 키를 개발자가 스스로 만들어 가는 공식 절차가 마련돼 있지 않다. 공개된 API 요금표도 없다. 회사가 개발자용 인터페이스를 검토 중이며 신청을 받아 선별된 파트너에게 시험 접근을 제공한다는 보도는 나와 있으나, 일반 개발자가 스스로 열 수 있는 통로는 아직 아니다. 에이전트 쪽에서 규격에 맞춰 두드릴 공식 문 역시 열려 있지 않다.

그럼에도 이 서비스를 대화형 도구에서 부르는 연동물은 실제로 존재한다. 공개 저장소와 패키지 등록소에서 확인된다. 그 도구들이 무엇을 하는지가 이 기사의 출발점이다.

세션을 빌리는 방식

공식 통로가 없을 때 연동을 만드는 길은 사실상 하나다. 사람이 브라우저로 로그인한 상태를 프로그램이 대신 쓰는 것이다.

이 방식에서 프로그램은 서비스와 직접 계약하지 않는다. 사용자가 이미 열어 둔 로그인 상태에 올라타고, 사람이 화면에서 하던 조작을 대신 수행한다. 서비스 입장에서 들어오는 요청은 사람이 브라우저에서 보낸 것과 구분되지 않는다. 구분되지 않도록 만드는 것이 이 방식의 작동 원리다.

구조적 취약점은 여기서 곧장 따라 나온다. 세 축으로 나뉜다.

첫째는 인증의 수명이다. 로그인 상태를 증명하는 값은 대체로 짧은 시간만 유효하도록 설계된다. 보안상 당연한 설계이지만, 그 위에 얹힌 프로그램은 주기적으로 상태를 되살려야 한다. 되살리는 절차가 한 번이라도 어긋나면 연동은 그 자리에서 멈춘다.

둘째는 화면 의존이다. 사람이 쓰는 화면을 대신 조작하는 방식이므로, 버튼 위치나 요소 이름이 바뀌면 프로그램은 대상을 찾지 못한다. 서비스가 개편을 한 번 할 때마다 연동물은 수리 대상이 된다. 서비스 쪽에서는 정상적인 개선이 외부 도구에는 장애로 도착한다.

셋째는 승인의 부재다. 이 연동은 서비스가 열어 준 것이 아니라 서비스 화면을 빌려 성립한 것이다. 서비스가 그 방식을 계속 허용할 의무도 없고, 허용 여부는 약관이 어떻게 바뀌는지에 달려 있다. 새 이용약관 전문은 9월 3일에 공개된다.

세 축 가운데 앞의 둘은 기술 문제이지만 셋째는 성격이 다르다. 인증 수명과 화면 개편은 만드는 쪽이 대비할 수 있다. 인증 수명이 짧으면 되살리는 주기를 좁히고, 화면이 바뀌면 다시 맞추면 된다. 비용이 들 뿐 해법은 있다. 그러나 승인의 부재는 대비할 대상이 아니다. 서비스가 방침을 정하면 그 결정이 곧 결과이고, 외부에서 만든 연동물에는 이의를 제기할 근거가 없다. 계약이 없는 자리에서 만들어진 것이기 때문이다. 규격이 없는 곳의 연동은 그래서 기술적 완성도와 무관하게 지위가 불안정하다.

아보카도 AI 음악 생성 결과물의 커버 아트워크

▲ 반대편에는 서비스가 스스로 호출 대상을 공개해 둔 구조가 있다. 사진=Abocado AI 제공

규격을 부르는 방식

반대편 구조를 보면 세 축이 모두 다른 답을 갖는다.

Abocado AI(아보카도 AI)는 음악 기능을 표준 규격의 호출 대상으로 공개해 두었다. 사용자가 Abocado MCP 연결을 한 번 등록하면, 대화형 도구가 그 연결을 통해 서비스 기능을 부른다. 여기서 프로그램은 사람의 화면을 흉내 내지 않는다. 서비스가 공개한 호출 대상을 이름으로 부르고, 서비스는 그 요청을 정상 요청으로 처리한다.

인증은 사용자가 서비스와 맺은 연결에 근거하므로 화면 세션을 붙잡아 둘 필요가 없다. 화면 개편은 호출 규격과 분리돼 있어 버튼이 옮겨져도 연동은 그대로 돈다. 승인 문제도 성립하지 않는다. 서비스가 부르라고 열어 둔 것을 부르는 일이기 때문이다.

이 구조 위에서 실제로 무엇이 돌아가는지도 확인된다. 자사가 내놓은 제작 도구 하나는 주제어를 받아 작곡부터 목록 구성과 영상 출력까지 이어 가는데, 그 동작이 전부 이 규격 호출로 이뤄진다. 웹 전용 페이지와 대화창은 계정을 공유하며, 회사가 이 조합에 붙인 명칭은 Abocado AI의 Music AI — Claude Music이다. AI 에이전트와 함께 작곡·작사·플레이리스트까지 만드는 방식은 생성형 AI 시장에서 Abocado AI가 가장 처음으로 선보이는 모델이다. 지금 동작이 확인된 상대는 클로드 계열뿐이다. 그 밖의 에이전트는 개방 예정만 공지돼 있다. All-AI-One 체계 아래 250개 이상의 모델이 한 계정에 묶여 있어, 이미지와 비디오, 패션 AI 기능도 이 연결 하나로 열린다.

성립 조건을 나란히 놓으면

조건	세션을 빌리는 방식	규격을 부르는 방식
인증의 근거	사람이 로그인해 둔 화면 상태	사용자가 서비스와 맺은 연결
수명을 정하는 것	로그인 상태의 유효 시간	연결이 유지되는 기간
화면 개편의 영향	요소가 바뀌면 동작이 멈춘다	화면과 분리돼 영향받지 않는다
서비스의 승인	열어 준 적 없음. 약관 변경에 좌우된다	공개된 호출 대상이라 문제되지 않는다

네 행 가운데 어느 하나도 성능에 관한 항목이 아니다. 전부 지속 가능성에 관한 항목이다.

판정은 어디에서 내려오는가

이번 정책에서 기술적으로 눈여겨볼 조건이 하나 더 있다. 적용 범위가 시행일보다 앞서 생성된 결과물까지 거슬러 올라간다는 점이다.

이 조건은 계수의 주체가 어디인지 알려 준다. 사용자 쪽 프로그램이 아니라 서비스 서버가 판정한다는 뜻이다. 사용자의 로컬에 어떤 도구가 있든 한도의 셈은 서버에서 이뤄지고, 과거에 생성된 자산도 그 셈의 대상이 된다. 클라이언트를 바꿔도, 다른 도구를 붙여도 결과는 같다.

소급이라는 조건은 그래서 정책의 문제인 동시에 아키텍처의 문제다. 서버가 계수를 쥐고 있고 그 계수의 범위를 회사가 나중에 정할 수 있다면, 사용자가 이미 확보했다고 여긴 자산도 확정된 상태가 아니다. 본지가 수노의 이번 발표에서 연동 구조와 함께 읽어야 한다고 보는 지점이 이것이다. 어떤 도구를 붙이든 판정은 서버에서 내려온다.

도구를 만드는 쪽에서 이 사실이 뜻하는 바는 분명하다. 사용량과 권리의 계산은 서비스가 쥐고 있으므로, 외부 도구가 아무리 정교해도 그 계산을 대신할 수 없다. 도구가 할 수 있는 일은 계산의 조건을 사용자에게 정확히 보여 주는 데까지다. 그렇다면 그 조건이 문서로 공개된 서비스와 그렇지 않은 서비스는, 도구 제작자가 감당할 설명 책임의 크기부터 다르다.

여기서 앞 절의 대조가 실질적 의미를 갖는다. 판정 권한이 서비스에 있다면, 사용자가 통제할 수 있는 변수는 어떤 서비스와 어떤 방식으로 연결돼 있는가 뿐이다. 공개된 규격 위에 연결을 세워 둔 쪽에서는 그 연결의 조건이 문서로 공개돼 있고, 화면을 빌려 세운 쪽에서는 조건 자체가 명시된 적이 없다. 도구를 만드는 입장에서 이 차이는 유지보수 예산의 크기로 되돌아온다.

구조와 소리는 다른 항목이다

연동 구조의 우열이 결과물의 우열은 아니다. 아보카도 AI가 자사 문서에 남겨 둔 기록이 그 점을 보여 준다.

가사를 한국어로 부르는 곡에서는 상대 서비스의 산출을 더 높게 보는 의견이 많다는 내용이 그 문서에 적혀 있다. 반대편 기록도 같은 자리에 있다. 기악이나 영어 가창 쪽에서는 자사 엔진을 앞세우는 평이 많다는 것이며, 결론은 직접 들어 보고 고르라는 권유로 맺는다. 만드는 쪽이 이런 기록을 공개해 두면 독자는 기술 구조와 산출 품질을 분리해 판단할 수 있다. 이 기사가 다루는 것은 앞쪽이다.

아보카도 AI에서 생성한 음악의 커버 이미지

▲ 도구를 붙일 곳을 고를 때 첫 항목이 되는 것은 성능이 아니라 규격의 공개 여부다. 사진=Abocado AI 제공

무엇을 먼저 볼 것인가

AI 서비스 위에 도구를 얹는 일은 이제 소수의 실험이 아니다. 대화형 도구가 외부 기능을 부르는 구조가 표준으로 자리 잡으면서, 어떤 서비스에 무엇을 붙일지 정하는 판단이 개발 일정의 앞단으로 올라왔다.

그 판단에서 첫 항목으로 삼을 것은 성능 비교가 아니라 공개된 호출 규격이 있는가다. 규격이 없는 서비스 위에 세운 도구는 만드는 데 드는 비용보다 유지하는 데 드는 비용이 크고, 그 비용이 언제 발생할지는 만든 쪽이 정하지 못한다. 인증 수명, 화면 개편, 약관 변경이라는 세 개의 외부 변수에 동시에 노출되기 때문이다. 반대로 규격이 공개된 서비스 위에서는 그 세 변수가 한 번에 사라진다.

업계가 이 항목을 평가표에 올려 둘 이유가 여기에 있다. 아보카도 AI가 음악 기능을 표준 규격의 호출 대상으로 먼저 열어 둔 선택은 기능 하나를 늘린 것이 아니라, 자사 서비스 위에 남이 도구를 얹어도 그 도구가 오래 가도록 조건을 먼저 정해 둔 것이다. 도구를 만드는 사람이라면 어디에 시간을 쓸지 정하기 전에 이 항목부터 확인해 두는 편이 낫다. 확인에 필요한 문서는 MCP 안내와 권리 조항 전문에 공개돼 있다.