一首并非乐队创作、甚至并非人类创作的歌曲，为什么能出现在真实乐队的官方页面上？404 Media 的一次测试表明，问题不需要黑进艺人账户：只要借助正常的数字发行渠道，提交环节对“谁有权向这个艺人名下发歌”的核验不足，就可能让假歌混入既有作品目录。1

测试是怎样完成的

404 Media 报道称，其记者使用 Udio 生成了一首歌曲，通过 DistroKid 上传、整个过程约五分钟，并将作品命名为 《Riding High》。数日后，这首歌未经布鲁克林朋克乐队 Lathe of Heaven 知情，出现在该乐队的 Spotify、Apple Music、Tidal 和 Amazon Music 官方艺人页面上。1

这并不是账户被盗。测试利用的是音乐发行商向各大数字流媒体服务提交音频文件及发行信息的常规流程。Engadget 将其描述为：利用分发环节的漏洞，把合成歌曲直接插入一个已经存在的艺人作品目录。19

漏洞核心：页面匹配不等于发布授权

流媒体服务需要把每一张新发行作品匹配到正确的艺人页面。DistroKid 的帮助资料显示，上传者可在上传表单中指定作品应关联到各服务的艺人页面；但艺人页面最终如何匹配，仍由各流媒体服务处理。28

问题在于，系统若将上传者提供的发行信息视为足以完成关联的依据，就可能把歌曲放进一个已成名艺人的真实目录中，而不是明显可疑的仿冒页面。听众看到的，便像是该艺人正常发布的新歌。

这套机制也会造成无恶意的同名艺人混淆和误归属。DistroKid 提供名为 Fixer 的纠错流程，艺人可申请把自己的作品从错误页面移走，或移除被放到自己页面上的他人作品；但不同流媒体服务需要分别提交申请。24 问题是，事后纠错并不能阻止未经授权的作品先一步上线。

假上传为何有赚钱动机

通常情况下，提交作品的发行商账户也是接收该作品流媒体版税的一方。关于艺人仿冒的报道指出，独立发行商会向艺人或权利人结算播放版税，因此欺诈上传者有动机假冒权利归属、获取播放量。22

风险也不止于听众误点播放。若假歌再被人为刷量，获利动机会被进一步放大。DistroKid 将通过人工手段提高播放次数定义为“人工播放”，并表示：若某作品的大部分播放被认定为人工播放，作品可能被下架，相关版税也不会支付。27

但在播放发生之后再处理，与在上线前阻止未经授权的作品关联到艺人主页，显然是两回事。

生成式 AI 让旧问题更容易规模化

艺人页面错配、未经授权上传和流媒体欺诈，在生成式 AI 出现前就已存在。AI 改变的是成本和速度：它能快速生成大量低成本、可随时丢弃的歌曲，让不法者拥有更多素材去反复测试分发和页面匹配系统。

规模数据需要谨慎看待。目前提供的证据并不能证明 Spotify 每天有 5 万首 AI 歌曲上传这一经过平台审计的数字。公开报道中，Deezer 在 2026 年 4 月估计其平台每天接收 7.5 万首完全由 AI 生成的歌曲，占每日上传量的 44%。5051 Spotify 则曾表示，在 12 个月内移除了超过 7500 万首“垃圾曲目”；这反映出更广泛的滥用问题，但并非 Spotify 每日 AI 上传数量。5659

也已有音乐人发现与自身身份关联的可疑或未经授权作品。《卫报》报道，爵士音乐家 Jason Moran 是遭遇流媒体平台疑似 AI 冒名内容的艺人之一。56 另一篇援引研究者 Odette Child 的报道则称，她发现了 300 多首被假冒归属给真实艺人的 AI 曲目，其中包括 Taylor Swift 以及已故爵士音乐家。48

对艺人而言，损失不只是几笔版税

一首假歌可能让粉丝误以为艺人创作了某种音乐、表达了某种立场；也可能污染艺人的发行履历。听众、推荐系统、媒体和合作方，都可能依据这份履历理解一位艺人的创作。

在 Lathe of Heaven 的案例中，问题尤其突出：歌曲不是挂在一个单独的仿冒账号下，而是直接出现在已有乐队身份的页面上。即便假歌最终几乎没有带来收入，乐队的声誉、听众信任和创作署名仍然可能受损。1

平台之后可以删除作品，却无法完全消除已经发生的听众误解，也无法抹去艺人为发现、取证和申诉而付出的时间成本。

Spotify 的应对：更有控制权，但还不是普遍预防

Spotify 已推出 Artist Profile Protection（艺人资料保护）：这是 Spotify for Artists 中的一项可选功能，可在作品被投递到受保护的艺人页面时通知艺人，并允许艺人从错误归属的发行作品中移除自己的名字。3242

这是一项实质进展，因为审核被前移到更接近上线的阶段。Spotify 表示，受保护的艺人会获得一个可交给可信发行商的专属艺人密钥；在测试期间，来自大多数、但并非所有发行方的作品，都需要艺人批准或提供该密钥。36

不过，该机制仍有明显边界：

• 它是可选功能，且目前仅向有限范围的艺人开放测试。32
• 测试阶段并非所有发行方都适用同样的审核方式。36
• 它只适用于 Spotify，无法自动保护同样受到此次测试影响的 Apple Music、Tidal、Amazon Music 等服务。1
• 它让艺人拥有审核和移除的权利，但尚未建立一项跨平台、普遍适用的规则：发行方在把新作品关联到既有艺人身份前，必须先验证上传者是否获得授权。

Spotify 另有 Verified by Spotify 徽章，表示该艺人资料已按平台的真实性与可信度标准接受审核。34 这或许有助于听众识别已建立的艺人页面，但它本身并不保证该页面此后每一首新投递的歌曲都获得艺人授权。

更难被滥用的机制应是什么样

报道指向一个简单原则：若有人要求把新作品放进一个现有艺人页面，系统应要求比“名称相同”或“填写了路由信息”更强的授权证明。

更持久的方案可以结合可信发行商关系、由艺人掌握的批准密钥、上线前通知，以及跨服务快速处理争议匹配的机制。Spotify 的测试功能朝这一方向迈出了一步，但 Lathe of Heaven 的测试也说明，仅靠事后举报工具和范围有限的自愿保护，漏洞依然存在。136

对艺人而言，当前可做的是持续查看各流媒体主页、认领艺人管理账户，并在发现错误归属时尽快使用发行商和平台的纠错流程。这些措施可以缩短错误或攻击存在的时间，却不能替代发行链路上更严格的身份与授权核验。2432

一首并非乐队创作、甚至并非人类创作的歌曲，为什么能出现在真实乐队的官方页面上？404 Media 的一次测试表明，问题不需要黑进艺人账户：只要借助正常的数字发行渠道，提交环节对“谁有权向这个艺人名下发歌”的核验不足，就可能让假歌混入既有作品目录。1

测试是怎样完成的

404 Media 报道称，其记者使用 Udio 生成了一首歌曲，通过 DistroKid 上传、整个过程约五分钟，并将作品命名为 《Riding High》。数日后，这首歌未经布鲁克林朋克乐队 Lathe of Heaven 知情，出现在该乐队的 Spotify、Apple Music、Tidal 和 Amazon Music 官方艺人页面上。1

这并不是账户被盗。测试利用的是音乐发行商向各大数字流媒体服务提交音频文件及发行信息的常规流程。Engadget 将其描述为：利用分发环节的漏洞，把合成歌曲直接插入一个已经存在的艺人作品目录。19

漏洞核心：页面匹配不等于发布授权

流媒体服务需要把每一张新发行作品匹配到正确的艺人页面。DistroKid 的帮助资料显示，上传者可在上传表单中指定作品应关联到各服务的艺人页面；但艺人页面最终如何匹配，仍由各流媒体服务处理。28

问题在于，系统若将上传者提供的发行信息视为足以完成关联的依据，就可能把歌曲放进一个已成名艺人的真实目录中，而不是明显可疑的仿冒页面。听众看到的，便像是该艺人正常发布的新歌。

这套机制也会造成无恶意的同名艺人混淆和误归属。DistroKid 提供名为 Fixer 的纠错流程，艺人可申请把自己的作品从错误页面移走，或移除被放到自己页面上的他人作品；但不同流媒体服务需要分别提交申请。24 问题是，事后纠错并不能阻止未经授权的作品先一步上线。

假上传为何有赚钱动机

通常情况下，提交作品的发行商账户也是接收该作品流媒体版税的一方。关于艺人仿冒的报道指出，独立发行商会向艺人或权利人结算播放版税，因此欺诈上传者有动机假冒权利归属、获取播放量。22

风险也不止于听众误点播放。若假歌再被人为刷量，获利动机会被进一步放大。DistroKid 将通过人工手段提高播放次数定义为“人工播放”，并表示：若某作品的大部分播放被认定为人工播放，作品可能被下架，相关版税也不会支付。27

但在播放发生之后再处理，与在上线前阻止未经授权的作品关联到艺人主页，显然是两回事。

生成式 AI 让旧问题更容易规模化

艺人页面错配、未经授权上传和流媒体欺诈，在生成式 AI 出现前就已存在。AI 改变的是成本和速度：它能快速生成大量低成本、可随时丢弃的歌曲，让不法者拥有更多素材去反复测试分发和页面匹配系统。

规模数据需要谨慎看待。目前提供的证据并不能证明 Spotify 每天有 5 万首 AI 歌曲上传这一经过平台审计的数字。公开报道中，Deezer 在 2026 年 4 月估计其平台每天接收 7.5 万首完全由 AI 生成的歌曲，占每日上传量的 44%。5051 Spotify 则曾表示，在 12 个月内移除了超过 7500 万首“垃圾曲目”；这反映出更广泛的滥用问题，但并非 Spotify 每日 AI 上传数量。5659

也已有音乐人发现与自身身份关联的可疑或未经授权作品。《卫报》报道，爵士音乐家 Jason Moran 是遭遇流媒体平台疑似 AI 冒名内容的艺人之一。56 另一篇援引研究者 Odette Child 的报道则称，她发现了 300 多首被假冒归属给真实艺人的 AI 曲目，其中包括 Taylor Swift 以及已故爵士音乐家。48

对艺人而言，损失不只是几笔版税

一首假歌可能让粉丝误以为艺人创作了某种音乐、表达了某种立场；也可能污染艺人的发行履历。听众、推荐系统、媒体和合作方，都可能依据这份履历理解一位艺人的创作。

在 Lathe of Heaven 的案例中，问题尤其突出：歌曲不是挂在一个单独的仿冒账号下，而是直接出现在已有乐队身份的页面上。即便假歌最终几乎没有带来收入，乐队的声誉、听众信任和创作署名仍然可能受损。1

平台之后可以删除作品，却无法完全消除已经发生的听众误解，也无法抹去艺人为发现、取证和申诉而付出的时间成本。

Spotify 的应对：更有控制权，但还不是普遍预防

Spotify 已推出 Artist Profile Protection（艺人资料保护）：这是 Spotify for Artists 中的一项可选功能，可在作品被投递到受保护的艺人页面时通知艺人，并允许艺人从错误归属的发行作品中移除自己的名字。3242

这是一项实质进展，因为审核被前移到更接近上线的阶段。Spotify 表示，受保护的艺人会获得一个可交给可信发行商的专属艺人密钥；在测试期间，来自大多数、但并非所有发行方的作品，都需要艺人批准或提供该密钥。36

不过，该机制仍有明显边界：

• 它是可选功能，且目前仅向有限范围的艺人开放测试。32
• 测试阶段并非所有发行方都适用同样的审核方式。36
• 它只适用于 Spotify，无法自动保护同样受到此次测试影响的 Apple Music、Tidal、Amazon Music 等服务。1
• 它让艺人拥有审核和移除的权利，但尚未建立一项跨平台、普遍适用的规则：发行方在把新作品关联到既有艺人身份前，必须先验证上传者是否获得授权。

Spotify 另有 Verified by Spotify 徽章，表示该艺人资料已按平台的真实性与可信度标准接受审核。34 这或许有助于听众识别已建立的艺人页面，但它本身并不保证该页面此后每一首新投递的歌曲都获得艺人授权。

更难被滥用的机制应是什么样

报道指向一个简单原则：若有人要求把新作品放进一个现有艺人页面，系统应要求比“名称相同”或“填写了路由信息”更强的授权证明。

更持久的方案可以结合可信发行商关系、由艺人掌握的批准密钥、上线前通知，以及跨服务快速处理争议匹配的机制。Spotify 的测试功能朝这一方向迈出了一步，但 Lathe of Heaven 的测试也说明，仅靠事后举报工具和范围有限的自愿保护，漏洞依然存在。136

对艺人而言，当前可做的是持续查看各流媒体主页、认领艺人管理账户，并在发现错误归属时尽快使用发行商和平台的纠错流程。这些措施可以缩短错误或攻击存在的时间，却不能替代发行链路上更严格的身份与授权核验。2432