ИИ-песня за несколько дней оказалась в каталоге настоящей группы

Эксперимент журналиста 404 Media показал, насколько просто новый релиз может оказаться в каталоге исполнителя, который к нему не имеет отношения. Речь не только об одной фальшивой песне: если дистрибьюторы и стриминговые сервисы недостаточно надёжно проверяют право публиковать музыку от имени уже известного артиста, той же инфраструктурой, что и легальные музыканты, могут воспользоваться злоумышленники. 1

Что произошло в эксперименте с Lathe of Heaven

По данным 404 Media, журналист сгенерировал песню в сервисе Udio, примерно за пять минут загрузил её через DistroKid и выпустил под названием «Riding High». Через несколько дней композиция появилась на официальных страницах бруклинской панк-группы Lathe of Heaven в Spotify, Apple Music, Tidal и Amazon Music — без ведома группы. 1

Для этого не пришлось получать доступ к аккаунтам музыкантов. Использовался обычный путь дистрибуции: сервис-дистрибьютор передаёт стримингам сам файл и данные о релизе. Engadget описал результат как добавление синтетического трека в уже существующий каталог артиста через уязвимость в механизме распространения музыки. 19

Привязка к странице артиста — не то же самое, что разрешение артиста

Стримингам необходимо сопоставлять каждый поступающий релиз с нужной страницей исполнителя. В справке DistroKid говорится, что при загрузке можно указать страницы артиста в сервисах, однако окончательное сопоставление страниц выполняют сами площадки. 28

Удобный механизм становится уязвимостью, если указанных в релизе данных достаточно, чтобы связать трек с известным профилем. Тогда песня выглядит как обычное пополнение дискографии реального артиста, а не как материал с очевидно поддельной страницы.

Такая проблема возникает и без злого умысла — например, у музыкантов с одинаковыми именами. У DistroKid есть инструмент Fixer для случаев, когда музыка попала не на ту страницу или на странице оказался чужой материал. Но заявку нужно отправлять отдельно для каждого сервиса. 24 Это способ исправить последствия, а не предотвратить несанкционированную привязку до того, как её увидят слушатели.

Откуда берётся финансовый стимул

Аккаунт у дистрибьютора, через который был доставлен релиз, обычно и является тем аккаунтом, которому причитаются роялти за прослушивания этой записи. В материалах о самозванцах на стримингах отмечается, что независимые дистрибьюторы выплачивают вознаграждения артистам или правообладателям за стримы — а значит, у мошенника есть стимул выдать загрузку за свою и набрать прослушивания. 22

Риск не сводится к тому, что слушатель случайно включит не ту песню. Если фальшивому треку накрутить прослушивания, потенциальная выгода возрастает. DistroKid определяет искусственные стримы как повышение счётчиков неестественными способами; релиз с преимущественно искусственными прослушиваниями могут удалить, а начисленные за них роялти — не выплатить. 27

Но реакция после накрутки — не то же самое, что проверка полномочий до публикации релиза на странице артиста.

Почему генеративный ИИ масштабирует старую проблему

Ошибочные привязки, несанкционированные загрузки и мошенничество со стримами существовали задолго до генеративного ИИ. ИИ меняет экономику схемы: с его помощью можно быстро и дёшево создавать множество одноразовых треков, чтобы массово проверять слабые места в дистрибуции и сопоставлении профилей.

Важно не приписывать Spotify неподтверждённые цифры. Представленные источники не подтверждают, что на Spotify ежедневно загружается 50 000 ИИ-песен. Публично сообщалось о другой оценке: в апреле 2026 года Deezer заявил о 75 000 полностью сгенерированных ИИ треков в день — это 44% ежедневных загрузок на платформу. 5051 Отдельно Spotify сообщал, что удалил более 75 млн «спам-треков» за 12 месяцев. Это показатель масштаба злоупотреблений, но не число ежедневных ИИ-загрузок. 5659

Появлялись и сообщения о музыкантах, обнаруживших подозрительные или несанкционированные записи, связанные с их именем. The Guardian писал, что джазовый музыкант Джейсон Моран оказался среди артистов, которых, по всей видимости, имитировали с помощью ИИ на стриминговых сервисах. 56 Исследовательница Одетт Чайлд, как сообщалось, выявила более 300 фальшивых ИИ-треков, приписанных реальным артистам, включая Тейлор Свифт и умерших джазовых музыкантов. 48

Ущерб для музыканта — не только потерянные выплаты

Поддельный релиз способен ввести поклонников в заблуждение насчёт того, что именно артист записал и с чем он готов ассоциироваться. Он также засоряет историю релизов — ту самую, на которую смотрят слушатели, рекомендательные алгоритмы, журналисты и потенциальные партнёры.

В случае Lathe of Heaven проблема особенно заметна именно потому, что трек оказался под уже сложившейся идентичностью группы, а не на отдельной странице-двойнике. Под угрозой оказались репутация коллектива, доверие аудитории и авторство, даже если фальшивая запись почти не принесла денег. 1

Удаление трека задним числом не может полностью отменить путаницу среди слушателей и не снимает с артистов обязанность самим обнаруживать, фиксировать и оспаривать чужие публикации.

Что делает Spotify — и почему этого пока недостаточно

Spotify запустил Artist Profile Protection — необязательную функцию в Spotify for Artists. Она уведомляет артиста о доставке музыки на его профиль и позволяет удалить себя из ошибочно привязанных релизов. Сейчас инструмент находится в ограниченном бета-тестировании. 3242

Это существенный шаг вперёд, поскольку часть проверки переносится ближе к моменту публикации. Spotify сообщает, что защищённому артисту выдаётся уникальный ключ: его можно передать доверенным дистрибьюторам. В период бета-тестирования релизы от большинства, но не от всех поставщиков требуют одобрения или такого ключа. 36

Однако у решения есть ограничения:

• функция необязательная и пока доступна лишь ограниченной группе артистов; 32
• в бета-версии не все каналы доставки работают по одинаковым правилам; 36
• защита действует в Spotify, но не распространяется автоматически на Apple Music, Tidal, Amazon Music и другие сервисы, затронутые экспериментом 404 Media; 1
• она даёт артисту возможность проверить или убрать релиз, но не вводит универсального межплатформенного требования: дистрибьютор должен заранее подтвердить право загрузчика привязать запись к существующей личности артиста.

Значок Verified by Spotify означает, что профиль артиста был проверен по критериям подлинности и доверия. 34 Он может помочь слушателю распознать настоящий профиль, но сам по себе не гарантирует, что каждая новая запись на этой странице одобрена артистом.

Что могло бы закрыть дыру

Из этой истории следует простой принцип: для добавления нового релиза к уже существующей странице артиста нужно более весомое подтверждение полномочий, чем совпадение имени или инструкция по маршрутизации.

Более устойчивый подход мог бы объединить проверенные отношения с дистрибьюторами, ключи подтверждения под контролем артиста, уведомления до релиза и быстрый межсервисный механизм разбора спорных привязок. Бета-функция Spotify движется в этом направлении, однако опыт Lathe of Heaven показывает, что инструментов для жалоб после публикации и ограниченной добровольной защиты недостаточно. 136

Пока артистам остаётся следить за своими страницами на стримингах, получать доступ к кабинетам управления профилем и оперативно пользоваться процедурами исправления у дистрибьюторов и платформ. Это может сократить время, в течение которого ошибка или атака остаётся видимой, но не заменяет надёжную проверку личности и полномочий ещё до выпуска. 2432