404 Media 一次實測顯示，冒認藝人上架未必需要入侵樂隊帳戶。記者用 AI 音樂工具 Udio 生成一首歌，經 DistroKid 提交發行，整個上傳過程約五分鐘；數日後，歌曲以 《Riding High》 之名，出現喺 Brooklyn 朋克樂隊 Lathe of Heaven 的 Spotify、Apple Music、Tidal 及 Amazon Music 官方藝人頁面，樂隊毫不知情。1

關鍵唔係有人攻破咗平台，而係利用業界本來嘅數碼發行渠道：發行商把歌曲與資料交畀串流服務，再由服務將作品配對到相應藝人頁面。Engadget 形容，騙徒可藉呢個發行漏洞，將合成歌曲直接插入已存在嘅藝人作品目錄。19

「配對到頁面」唔等於「獲藝人授權」

串流服務需要將每次新發行，放返去正確嘅藝人專頁。DistroKid 的支援資料指出，上載者可於發行表格指定各服務對應嘅藝人頁面，但最終頁面配對由串流服務處理。28

便利之處，亦可能變成漏洞：假如系統過度信任提交者提供嘅資料，歌曲便可掛到知名藝人既有目錄底下。對聽眾而言，它看上去就似該藝人正常推出嘅新歌，而唔係一個一眼睇得出的冒牌帳戶。

當然，藝人同名或資料填錯，都可以造成無惡意嘅錯配。DistroKid 設有 Fixer 工具，讓藝人申請把錯放嘅歌曲移走，或者處理有人嘅音樂被放咗入自己頁面；但每一個串流服務都要分開提交申請。24 問題係，事後修正始終唔等於事前阻止未獲授權嘅作品出街。

假歌點解有錢途？

通常情況下，提交發行嘅分銷帳戶，會處於收取該作品串流版稅嘅位置。關於藝人冒認嘅報道亦指出，獨立發行商會向藝人或權利人派發串流收入；換句話講，冒認者若成功將假歌掛到真人名下，再取得播放量，就有誘因嘗試攞走相關收益。22

如果再配合假播放量，風險會更大。DistroKid 將以人為手段增加播放次數定義為人工串流；若一首作品大部分播放被判定為人為製造，歌曲可能被下架，相關版稅亦可能不獲派發。27

但喺播放量出現後先執法，與作品上架前先確認「你到底有冇權用呢個藝人身份」係兩回事。

生成式 AI 令舊問題更易批量化

藝人頁面錯配、未授權上架同串流詐騙，本身早於生成式 AI 已經存在。AI 改變嘅係成本同速度：短時間內就可製作大量低成本、用完即棄嘅歌曲，令不法者更容易反覆測試發行及藝人配對機制。

數字要小心解讀：現有資料並無證實 Spotify 每日收到 50,000 首 AI 歌係平台審核過嘅官方數字。已公開報道嘅數據則包括：Deezer 在 2026 年 4 月估計，每日收到 75,000 首完全由 AI 生成嘅歌曲，佔該平台每日上傳量 44%。5051 Spotify 則表示，曾在 12 個月內移除超過 7,500 萬首「垃圾歌曲」；呢個數字反映濫用問題規模，但唔係每日 AI 上傳量統計。5659

其他報道亦記錄到音樂人發現疑似未授權作品掛喺自己名下。《衛報》報道，爵士樂手 Jason Moran 是遭疑似 AI 冒認嘅藝人之一。56 另有引述研究者 Odette Child 的報道稱，她發現逾 300 首假 AI 歌被歸到真實藝人名下，包括 Taylor Swift 與已離世嘅爵士樂手。48

對音樂人嚟講，損害唔只係版稅

一首假歌可以令歌迷誤會藝人創作咗乜、代表緊乜；亦會污染藝人嘅作品履歷。聽眾、推薦系統、傳媒同合作夥伴，都可能以呢個履歷理解一位音樂人。

Lathe of Heaven 個案特別敏感，因為歌曲並非放喺一個明顯模仿嘅獨立頁面，而係直接出現喺既有樂隊身份之下。即使假歌最終冇帶來多少收入，樂隊嘅聲譽、歌迷信任與創作署名已經面對風險。1

平台之後移除作品，並唔能夠完全抹走聽眾曾經產生嘅誤解，亦唔會消除藝人要自行發現、蒐證同投訴嘅負擔。

Spotify 有咩保護？仍未係全面防線

Spotify 推出咗 Artist Profile Protection，屬 Spotify for Artists 內嘅可選功能。它可在作品送達藝人頁面時通知藝人，並讓藝人從錯誤歸屬嘅發行作品中移除自己。3242

呢個方向有實際意義，因為審核步驟推前咗。Spotify 表示，受保護藝人會獲發一組專屬 artist key，可交畀可信發行商使用；不過在 beta 期間，大部分、但並非所有供應商送交嘅作品，先需要審批或該組金鑰。36

不過，現階段仍有幾個明顯限制：

• 功能屬可選，而且只向有限度藝人開放 beta。32
• beta 期間並非每個發行來源都以同一方式受審核。36
• 它只適用於 Spotify，未會自動保護 Apple Music、Tidal、Amazon Music 等同樣受今次實測影響嘅平台。1
• 它讓藝人參與審核與移除，但未形成跨平台、強制要求發行商在將新作品連結到既有藝人身份前核實授權嘅制度。

Spotify 的 Verified by Spotify 標記，表示該藝人頁面已按真實性及信任準則接受審查。34 不過，有認證嘅頁面本身，唔代表頁面上每一首後來送達嘅新歌都必然得到藝人授權。

真正要堵漏洞，應該由上游開始

事件指向一個直接原則：要將一首新歌放入既有藝人頁面，所需嘅授權證明，應該比單靠名稱或路由指示更嚴格。

較完整嘅做法，可以結合可信發行商關係、由藝人控制嘅批准金鑰、上架前通知，以及跨服務嘅快速爭議處理機制。Spotify 的 beta 是向前一步，但 Lathe of Heaven 實測反映，只靠事後舉報工具同有限度自選保護，缺口依然存在。136

對藝人而言，現時可做嘅包括定期查看各串流平台頁面、認領藝人管理帳戶，並在發現錯配後盡快使用發行商及平台嘅修正流程。呢啲方法可以縮短錯誤或攻擊存在嘅時間，但取代唔到上架前更嚴格嘅身分與授權核實。2432

404 Media 一次實測顯示，冒認藝人上架未必需要入侵樂隊帳戶。記者用 AI 音樂工具 Udio 生成一首歌，經 DistroKid 提交發行，整個上傳過程約五分鐘；數日後，歌曲以 《Riding High》 之名，出現喺 Brooklyn 朋克樂隊 Lathe of Heaven 的 Spotify、Apple Music、Tidal 及 Amazon Music 官方藝人頁面，樂隊毫不知情。1

關鍵唔係有人攻破咗平台，而係利用業界本來嘅數碼發行渠道：發行商把歌曲與資料交畀串流服務，再由服務將作品配對到相應藝人頁面。Engadget 形容，騙徒可藉呢個發行漏洞，將合成歌曲直接插入已存在嘅藝人作品目錄。19

「配對到頁面」唔等於「獲藝人授權」

串流服務需要將每次新發行，放返去正確嘅藝人專頁。DistroKid 的支援資料指出，上載者可於發行表格指定各服務對應嘅藝人頁面，但最終頁面配對由串流服務處理。28

便利之處，亦可能變成漏洞：假如系統過度信任提交者提供嘅資料，歌曲便可掛到知名藝人既有目錄底下。對聽眾而言，它看上去就似該藝人正常推出嘅新歌，而唔係一個一眼睇得出的冒牌帳戶。

當然，藝人同名或資料填錯，都可以造成無惡意嘅錯配。DistroKid 設有 Fixer 工具，讓藝人申請把錯放嘅歌曲移走，或者處理有人嘅音樂被放咗入自己頁面；但每一個串流服務都要分開提交申請。24 問題係，事後修正始終唔等於事前阻止未獲授權嘅作品出街。

假歌點解有錢途？

通常情況下，提交發行嘅分銷帳戶，會處於收取該作品串流版稅嘅位置。關於藝人冒認嘅報道亦指出，獨立發行商會向藝人或權利人派發串流收入；換句話講，冒認者若成功將假歌掛到真人名下，再取得播放量，就有誘因嘗試攞走相關收益。22

如果再配合假播放量，風險會更大。DistroKid 將以人為手段增加播放次數定義為人工串流；若一首作品大部分播放被判定為人為製造，歌曲可能被下架，相關版稅亦可能不獲派發。27

但喺播放量出現後先執法，與作品上架前先確認「你到底有冇權用呢個藝人身份」係兩回事。

生成式 AI 令舊問題更易批量化

藝人頁面錯配、未授權上架同串流詐騙，本身早於生成式 AI 已經存在。AI 改變嘅係成本同速度：短時間內就可製作大量低成本、用完即棄嘅歌曲，令不法者更容易反覆測試發行及藝人配對機制。

數字要小心解讀：現有資料並無證實 Spotify 每日收到 50,000 首 AI 歌係平台審核過嘅官方數字。已公開報道嘅數據則包括：Deezer 在 2026 年 4 月估計，每日收到 75,000 首完全由 AI 生成嘅歌曲，佔該平台每日上傳量 44%。5051 Spotify 則表示，曾在 12 個月內移除超過 7,500 萬首「垃圾歌曲」；呢個數字反映濫用問題規模，但唔係每日 AI 上傳量統計。5659

其他報道亦記錄到音樂人發現疑似未授權作品掛喺自己名下。《衛報》報道，爵士樂手 Jason Moran 是遭疑似 AI 冒認嘅藝人之一。56 另有引述研究者 Odette Child 的報道稱，她發現逾 300 首假 AI 歌被歸到真實藝人名下，包括 Taylor Swift 與已離世嘅爵士樂手。48

對音樂人嚟講，損害唔只係版稅

一首假歌可以令歌迷誤會藝人創作咗乜、代表緊乜；亦會污染藝人嘅作品履歷。聽眾、推薦系統、傳媒同合作夥伴，都可能以呢個履歷理解一位音樂人。

Lathe of Heaven 個案特別敏感，因為歌曲並非放喺一個明顯模仿嘅獨立頁面，而係直接出現喺既有樂隊身份之下。即使假歌最終冇帶來多少收入，樂隊嘅聲譽、歌迷信任與創作署名已經面對風險。1

平台之後移除作品，並唔能夠完全抹走聽眾曾經產生嘅誤解，亦唔會消除藝人要自行發現、蒐證同投訴嘅負擔。

Spotify 有咩保護？仍未係全面防線

Spotify 推出咗 Artist Profile Protection，屬 Spotify for Artists 內嘅可選功能。它可在作品送達藝人頁面時通知藝人，並讓藝人從錯誤歸屬嘅發行作品中移除自己。3242

呢個方向有實際意義，因為審核步驟推前咗。Spotify 表示，受保護藝人會獲發一組專屬 artist key，可交畀可信發行商使用；不過在 beta 期間，大部分、但並非所有供應商送交嘅作品，先需要審批或該組金鑰。36

不過，現階段仍有幾個明顯限制：

• 功能屬可選，而且只向有限度藝人開放 beta。32
• beta 期間並非每個發行來源都以同一方式受審核。36
• 它只適用於 Spotify，未會自動保護 Apple Music、Tidal、Amazon Music 等同樣受今次實測影響嘅平台。1
• 它讓藝人參與審核與移除，但未形成跨平台、強制要求發行商在將新作品連結到既有藝人身份前核實授權嘅制度。

Spotify 的 Verified by Spotify 標記，表示該藝人頁面已按真實性及信任準則接受審查。34 不過，有認證嘅頁面本身，唔代表頁面上每一首後來送達嘅新歌都必然得到藝人授權。

真正要堵漏洞，應該由上游開始

事件指向一個直接原則：要將一首新歌放入既有藝人頁面，所需嘅授權證明，應該比單靠名稱或路由指示更嚴格。

較完整嘅做法，可以結合可信發行商關係、由藝人控制嘅批准金鑰、上架前通知，以及跨服務嘅快速爭議處理機制。Spotify 的 beta 是向前一步，但 Lathe of Heaven 實測反映，只靠事後舉報工具同有限度自選保護，缺口依然存在。136

對藝人而言，現時可做嘅包括定期查看各串流平台頁面、認領藝人管理帳戶，並在發現錯配後盡快使用發行商及平台嘅修正流程。呢啲方法可以縮短錯誤或攻擊存在嘅時間，但取代唔到上架前更嚴格嘅身分與授權核實。2432