AI楽曲が実在バンドのSpotifyに紛れ込んだ——配信の本人確認に残る穴

404 Mediaの検証は、AI生成曲をめぐる問題が単に「AIで曲を作れる」ことではないと示した。通常の配信手続きだけで、無関係な実在アーティストの既存カタログに楽曲を結び付けられる余地があるからだ。配信の許可を本当に持つ人物なのかを、流通事業者とストリーミングサービスが十分に確認できなければ、正規のミュージシャンが使う配信インフラ自体が悪用される。1

Lathe of Heavenで行われた検証

404 Mediaによると、記者は音楽生成AIのUdioで曲を作成し、約5分でDistroKidから**「Riding High」**としてアップロードした。すると数日後、この曲はブルックリンのパンクバンド、Lathe of Heavenが関与も認知もしていないまま、Spotify、Apple Music、Tidal、Amazon Musicの公式アーティストページに表示された。1

重要なのは、バンドのアカウントを乗っ取ったわけではない点だ。利用されたのは、配信事業者が楽曲とリリース情報を各ストリーミングサービスへ送る通常の流通経路だった。Engadgetはこの仕組みを、配信上の抜け道を通じて合成楽曲を既存アーティストのカタログへ直接差し込める状態だと報じている。19

弱点は「掲載先の指定」と「掲載の承認」が別であること

音楽サービスは、新着リリースを適切なアーティストページに割り当てなければならない。DistroKidの案内では、配信者はアップロード画面で各サービス上の正しいアーティストページを指定できる一方、最終的なページ紐付けはサービス側が扱うとしている。28

しかし、入力されたリリース情報を既存プロフィールへの関連付けに十分な根拠として扱えば、それは脆弱性にもなり得る。第三者の曲が、明らかななりすまし用アカウントではなく、実在アーティストの通常の新作のように見えてしまうからだ。

これは悪意ある行為だけでなく、同名アーティストの混同などでも起きる。DistroKidには、誤ったページに自分の曲が載った場合や、自分のページに他人の曲が混入した場合に修正を申請する「Fixer」機能がある。ただし、修正はサービスごとに別途申請する必要がある。24 つまり、問題が掲載後に見つかった際の救済手段であって、無断掲載を事前に防ぐ仕組みではない。

偽配信に収益の動機が生まれる理由

配信された楽曲のロイヤルティは通常、そのリリースを納品した配信アカウント側が受け取る立場に置かれる。アーティストのなりすましを扱った報道でも、独立系ディストリビューターはストリーミング収益をアーティストまたは権利者に支払うため、偽の配信者が再生を集めて収益を得ようとする動機になると説明されている。22

不正な楽曲にボットなどによる人為的な再生が加われば、その誘因はさらに強まる。DistroKidは、再生数を人為的な手段で増やす行為を「人工的ストリーミング」と定義しており、再生の大半が人工的と判断されれば、楽曲の削除やロイヤルティの支払い停止につながる可能性があるとしている。27

とはいえ、再生後に取り締まることと、公開前に無断リリースが実在アーティストのページへ結び付くのを防ぐことは別の問題である。

生成AIが古い問題を量産しやすくした

誤ったページへの紐付け、無断アップロード、ストリーミング詐欺はいずれも生成AI以前から存在した。AIが変えたのはコストと速度だ。安価で使い捨ての楽曲を大量に作れるため、悪意ある配信者は配信・プロフィール照合の仕組みをより大規模に試せるようになる。

規模に関する数字は慎重に扱う必要がある。提示された根拠からは、「SpotifyにAI曲が毎日5万曲アップロードされている」というSpotify監査済みの数値は確認できない。一方でDeezerは2026年4月、完全AI生成の楽曲が1日7万5000曲届いており、日次アップロードの44％に当たると推計した。5051 Spotifyは別途、過去12か月に「スパム的な楽曲」を7500万曲超削除したとしている。これはAI楽曲の1日当たり件数ではないが、不正利用の広がりを示す数字ではある。5659

実在アーティストの名義に不審な作品が結び付けられた事例も報告されている。The Guardianは、ジャズミュージシャンのジェイソン・モランが、AIボットによるものとみられるなりすましの標的となったアーティストの一人だと伝えた。56 また、研究者オデット・チャイルドは、テイラー・スウィフトや故人のジャズ音楽家を含む実在アーティストに帰属させられた偽のAI楽曲を300曲超見つけたとされる。48

ミュージシャンにとって、被害はロイヤルティだけではない

無断のリリースは、ファンに「本人が作った曲」だと誤解させる。アーティストの作品履歴を汚し、リスナー、推薦アルゴリズム、メディア、共同制作者がその人物の仕事を理解する際の情報まで混乱させかねない。

Lathe of Heavenのケースでは、別の模倣ページではなく、すでに知られたバンド名義のページに楽曲が掲載されたことが深刻だった。偽曲の収益が小さかったとしても、バンドの評判、ファンの信頼、創作の帰属が損なわれるリスクがあった。1

後から曲が削除されても、すでに生じたリスナーの混乱や、発見・証拠集め・異議申立てをアーティスト側が担う負担まで完全に元には戻せない。

Spotifyの対策は前進だが、万能ではない

Spotifyは、Spotify for Artistsで利用できる任意機能「Artist Profile Protection」を導入している。保護を有効にしたアーティストには、楽曲がプロフィールへ配信された際に通知が届き、誤って紐付けられたリリースから自身を外せる。3242

公開により近い段階で確認できる点は前進だ。Spotifyによれば、保護対象のアーティストには信頼するディストリビューターと共有できる固有の「artist key」が付与される。ベータ期間中は、すべてではないものの、大半の提供元からのリリースについて承認またはキーが求められる。36

ただし、限界も明確である。

• この機能は任意参加で、現時点では限定的なアーティストのみが利用できるベータ版だ。32
• ベータでは、すべての配信提供元が同じ方法で対象になるわけではない。36
• 対象はSpotifyであり、404 Mediaの検証で影響を受けたApple Music、Tidal、Amazon Musicまで自動的に保護するものではない。1
• アーティストに確認・削除の権限を与えても、既存アーティスト名義へ新作を紐付ける前に、ディストリビューターが権限を確認することを全サービス共通で義務付ける仕組みにはなっていない。

Spotifyの「Verified by Spotify」バッジは、そのアーティストプロフィールが同社の真正性・信頼性の基準に照らして審査されたことを示す。34 ただし、それ自体は、そのページに後から配信されるすべての楽曲が本人承認済みであることを保証するものではない。

必要なのは、公開前の権限確認

今回の報道が示す原則は比較的単純だ。既存アーティストのページへ新作を載せる要求には、名前の一致や配送先の指定だけでなく、より強い権限証明が必要である。

信頼できるディストリビューターとの連携、アーティストが管理する承認キー、公開前の通知、そして紛争のある紐付けをサービス横断で速やかに解決する手段を組み合わせることが、より持続的な対策になる。Spotifyのベータ版はその方向への一歩だが、Lathe of Heavenの検証は、事後通報と限定的な任意保護だけでは大きな穴が残ることを示した。136

当面、アーティストは各ストリーミングサービス上のページを定期的に確認し、アーティスト管理用アカウントを取得したうえで、誤った紐付けを見つけたら配信事業者やプラットフォームの修正手続きを速やかに使うことが重要だ。2432 ただし、これは被害や誤りの掲載期間を短くする対処策であり、上流段階でより強固な本人確認を行う必要性をなくすものではない。