Spotifyから偽の楽曲が7,500万曲も削除された。本当の問題は、削除されなかった曲だ。
数か月前、私はある音楽ディストリビューターとの会議に同席し、オーディオ業界全体に対する私の考え方を根底から書き換えるような話を聞かされました。彼は、自社の日々の取り込みパイプラインを示すダッシュボードを開きました。「これを見てください」と彼は言い、新規アップロードのフィードをスクロールしました。「うちのプラットフォームだけで、1日におよそ4,000曲が集まります。そのうちの3分の1は、あなたが今朝歯を磨いていた時間よりも短い時間で誰かが作ったものだと、私は見積もっています。」
私は笑いました。彼は笑いませんでした。
彼は誇張していませんでした。Spotifyだけでも、およそ毎日10万曲もの新しいトラックを取り込んでいます。そのそれぞれをわずか30秒だけ聴こうとしても、1日分のアップロードを聴き終えるのに、連続再生で35日かかることになります。そして、その洪水のうち増え続ける割合は、いかなる意味においても音楽ではありません——それは、実際に芸術を生み出す人々からお金を吸い上げるために設計された、アルゴリズムによって生成されたノイズなのです。
これが、私がVeriPrajnaでキャリアの直近の期間を注ぎ込み、取り憑かれるように向き合ってきたオーディオ・ウォーターマークの問題です。ウォーターマークが魅力的な技術だからではなく——実際そうではありません——業界が頼りにしている他のあらゆる解決策に、誰も正直に語ろうとしない致命的な欠陥があるからです。
あなたのプレイリストに潜む30億ドルの強盗
ここからは、あなたがミュージシャンであれ、リスナーであれ、あるいは月額10.99ドルのストリーミング・サブスクリプションを支払っているだけの人であれ、怒りを覚えるべき部分です。
大手プラットフォームの多くがアーティストに報酬を支払う仕組みは、プロラタモデルと呼ばれます。すべてのサブスクリプション収入と広告収入が、一つの巨大なプールに入ります。そのプールは、プラットフォーム上の総ストリーム数で分割されます。あなたの1ストリームあたりの単価は、全体のごく一部です。
これはつまり、あらゆる不正ストリームがプラットフォームから盗むだけでなく——すべての本物のアーティストからも盗んでいる、ということです。ボットファームがAI生成のホワイトノイズに10億回の再生を生み出すと、分母が水増しされます。1ストリームあたりの支払いは、全員にとって下がります。あなたのお気に入りのインディーズ・アーティスト——寝室で6か月かけてアルバムを書き上げたあの人——は、別の国の詐欺グループが1万個の雨音ループをアップロードし、それらにボットネットを向けたせいで、受け取る報酬が減るのです。
業界の推計では、年間の被害額は20億〜30億ドルに上るとされています。Deezerは、AI生成トラックの再生の70%が同社のプラットフォーム上で不正と判定されたと報告しました。Spotifyは、7,500万曲を2024年と2025年だけで削除せざるを得ませんでした——これは、録音音楽の歴史的カタログ全体の規模に匹敵する数字です。
あらゆる不正ストリームは、単なるプラットフォームからの窃盗ではありません。それは、縮小し続けるロイヤリティ・プールを通じて目に見えない形で支払われる、すべての正当なアーティストへの課税なのです。
Spotifyのあの削除数が公表された夜のことを、私は覚えています。私は自分のデスクにいて、最初の反応は安堵でした——ようやくプラットフォームがこれを真剣に受け止めている、と。その約10分後に訪れた二番目の反応は、恐怖でした。なぜなら、7,500万というのは、彼らが捕捉した数にすぎないからです。すり抜けたものは、どうなのでしょうか?
なぜ音声フィンガープリントはAI音楽に対して機能しないのか?
これこそが、私たちが今作っているものを作り始めるきっかけとなった問いです。そして、その答えは、いったん見えてしまえば拍子抜けするほど単純です。
音楽業界の主要な防御システムは、音声フィンガープリントです——Shazam、YouTubeのContent ID、そしてほとんどの権利管理プラットフォームの背後にある技術です。フィンガープリントは、ある音声から知覚的な特徴量(シグネチャ)を抽出し、それを既知の録音の巨大なデータベースと照合することで機能します。
問題はここにあります。生成AIはコピーしません。合成するのです。
拡散モデルが新しいトラックを生成するとき、それはこれまで一度も存在しなかった波形を作り出します。照合すべきエントリは、どのフィンガープリント・データベースにも存在しません。Content IDにとって、真新しいAIスパムのトラックは、真新しい人間の傑作とまったく同じに見えます。どちらも単なる「未知のコンテンツ」なのです。
私はこれを「オリジナリティのパラドックス」と呼んでいます。そしてこれは、私たちが最初のテストを実施したあと、約1週間眠れなかった理由でもあります。私たちは、AI生成トラックのセット——既存のアーティストを明らかに模倣したものもあれば、完全に新規のものもあった——を用意し、標準的なフィンガープリント・パイプラインに通しました。模倣的なものは、ときおり部分的な一致を引き起こしました。新規のものは?検出システムからは完全な沈黙。フラグは一つも立ちませんでした。
私の共同創業者は結果を見て、こう言いました。「つまり、AIがオリジナルであることに長けるほど、私たちの検出は悪くなるってことか?」その通り。まさにそれです。それが罠なのです。
フィンガープリントは識別の技術です。それは、あるものが何であるかを教えてくれます。ウォーターマークは認証の技術です。それは、あるものがどこから来たのかを教えてくれます。音楽業界は、間違ったツールを使い続けてきたのです。
この違いについて——そして、なぜフィンガープリントが破綻するのかという背後の完全な技術アーキテクチャについて——私が書いたのが、当社のインタラクティブ・ホワイトペーパーです。しかし短く言えばこうです。フィンガープリントは受動的です。コンテンツがすでに存在し、登録されていることを必要とします。私たちが必要としていたのは、能動的なもの——生成の瞬間に来歴を埋め込む何か——でした。
私たちが見ていない間に、詐欺は賢くなった
もう一つ私を眠らせなかったのは、詐欺のオペレーションが今どのように機能しているのかを知ったことでした。かつての手口は粗雑でした。トラックをアップロードし、単一のIPアドレスから数百万回のストリームを浴びせ、現金化する。プラットフォームは何年も前にそれを見抜きました。
新しい手口は、恐ろしいほど洗練されています。彼らはそれを「ロー・アンド・スロー」と呼びます。
一つのトラックに100万回の不正ストリームを与える代わりに、詐欺グループはAIを使って1万曲を生成します。そして、ボットネットが各トラックをわずか100回ずつ再生します。合計の支払額は同じですが、どの単一のトラックもバイラルな急増アラートを引き起こしません。詐欺はロングテールの中に隠れ、正当なデータの圧倒的な量の下に埋もれるのです。
そして、これらのオペレーションの背後にあるインフラは、エンタープライズ級になっています。話しているのは、各ストリームが異なる家庭から来ているように見せるために、乗っ取られたIoTデバイスを経由してトラフィックを中継する住宅用プロキシです。エンゲージメント分析を欺くために、人間の行動——マウスの動き、一時停止、トラックのスキップ、検索——を模倣するスクリプトを実行するヘッドレスブラウザ。そして、「コーディング用のチルなLo-Fi」のようなSEO最適化されたタイトルを持つAI生成のプレイリストは、大手アーティストのいくつかの正当なヒット曲に数十のスパムトラックを混ぜ込み、詐欺をカモフラージュし、ときにはプラットフォームのレコメンドアルゴリズムを騙して、本物のリスナーに偽のトラックを配信させることさえあります。
ある日の午後、私はチームと一緒に、このキルチェーンをホワイトボードに描き出していました。すると誰かがこう言ったのです。「これは音楽の海賊行為じゃない。たまたま音声ファイルを手段として使っている金融詐欺だ。」その捉え直しが、私たちにとってすべてを変えました。
スピーカーで曲を再生し、それを録音し直すと何が起こるのか?
これは、本気のウォーターマークをそれ以外のすべてから分ける技術的な難題であり、私がチームに最も誇りを感じている取り組みでもあります。
これはアナログギャップと呼ばれ、ときには「アナログホール」とも呼ばれます。ディープフェイクの楽曲が、誰かのノートパソコンのスピーカーで再生されると想像してみてください。音は空気を伝わっていきます。誰かがそれをスマートフォンで録音します。その録音がプラットフォームにアップロードされます。
その道のりの間に、音声信号は、データ保存にとってほとんど滑稽なほど敵対的な形で破壊されます。音は壁や床、家具に跳ね返り——マイクは直接の信号に加えて、わずかに遅れた数千もの反射を受け取ります。安価なスピーカーは、300Hz未満と15kHzを超えるすべてをカットします。録音デバイスはウォーターマークがどこで「始まる」のかを知らないため、信号全体が同期を失います。
MP3圧縮——デジタルギャップ——を生き延びるほとんどのウォーターマーク・システムは、アナログギャップでは即座に息絶えます。それでも、アナログギャップこそが、ソーシャルメディアで共有され、ラジオで再生され、あるいはライブ通話中にキャプチャされるディープフェイクを検出するうえで、最も重要なシナリオなのです。
私たちは、うまくいくアプローチを見つけるまで、何週間もこれに失敗し続けました。ブレークスルーは、受信した信号を外部の基準とそもそも比較すべきではない、と気づいたことでした。その代わりに、私たちは信号そのものの中に繰り返しパターンを埋め込み、自己相関を用います——信号が、自分自身を自分自身と比較するのです。
これが巧妙な理由はこうです。音声が反響する部屋の中を伝わると、信号全体が同じように歪みます。私たちの繰り返しウォーターマークのブロックAとブロックBは、どちらも同じ室内音響によって滲まされます。両者の間の関係は、絶対的な信号が損なわれても生き残ります。検出器は、既知の間隔における自己相関の周期的なスパイクを探し、そのスパイクが、元の音声がどのように聞こえたのかを一切知る必要なく、ウォーターマークの存在を裏付けるのです。
研究室でのある瞬間がありました——「研究室」というのは大げさで、実際にはノートパソコンと、コンビニで買ったBluetoothスピーカーが一台あるだけの会議室でした——そこで私たちは、そのひどいスピーカーからウォーターマークを埋め込んだトラックを再生し、部屋の反対側でスマートフォンに録音し、検出器を走らせました。結果が陽性で返ってきたとき、私のエンジニアは私を見て、とても静かにこう言いました。「これは、うまくいくはずがなかった。」でも、うまくいったのです。そのとき私は、私たちが何か本物を掴んだと分かりました。
攻撃者はウォーターマークをただ除去できるのでは?
これは誰もが真っ先に挙げる反論であり、そして正しい反論です。
高度な攻撃者は、AIを使ってウォーターマークを見つけ出し、剥ぎ取ろうと間違いなく試みるでしょう。そうではないと考えるのは甘い見方です。だからこそ、私たちのトレーニング・パイプラインは、「ノイズを加える」や「MP3に圧縮する」といった既知の攻撃の固定リストに対して防御するだけではありません。私たちが用いているのは、敵対的トレーニング・フレームワークです——本質的には、私たちはウォーターマーク・システムと並行して、攻撃者ネットワークを訓練します。攻撃者は、音声を聴取可能な状態に保ったまま、ウォーターマークを破壊しようとします。エンコーダは、その攻撃を生き延びるように適応します。両者は、トレーニング開始時には存在すらしなかった攻撃にもウォーターマークが耐えられるようになるまで、このミニマックス・ゲームを何千回もの反復を通じて繰り広げるのです。
その結果、私たちのシステムの帰属精度は、積極的な編集下でも98%を超えます——タイムストレッチ、ピッチシフト、クロッピングでも。詐欺師が30秒のクリップを10秒に切り詰めたとしても、検出器はその断片から、来歴シグネチャを復号するのに十分な統計的証拠を蓄積します。
スペクトラム拡散による埋め込み、SVD分解、そして敵対的耐性プロトコルの完全な技術的解説については、当社の研究論文をご覧ください。しかし鍵となる洞察は、単一の技術に関するものではありません——それは、ウォーターマークが音声の構造の中に宿り、その表面に宿るのではない、ということです。表面はサンドブラストで削り取ることができます。しかし構造は残り続けます。
音のための栄養成分表示
ウォーターマークそれ自体は、一つのリンクです。それは「この音声にはマークが付けられている」と告げます。しかし、誰によってマークが付けられたのか?何のために?本物の信頼のエコシステムを築くには、その音響信号を、検証可能なアイデンティティに結びつける必要があります。
ここで私たちが統合するのが、C2PA——Coalition for Content Provenance and Authenticity(コンテンツの来歴と真正性のための連合)——です。これは、デジタルコンテンツにとっての栄養成分表示のように機能するオープン標準です。誰がアセットを作成したか、それがどのように(人間かAIか)作成されたか、そしてどんな編集が加えられたかを、暗号的に記録します。
メタデータのみに頼るソリューションの脆弱性は明白です。署名済みのWAVを汎用的なMP3に変換すれば、メタデータのヘッダーは消え去ります。ラジオで再生すれば、なくなってしまいます。しかし、私たちのウォーターマークはそうした変換を生き延びます。そこで私たちは、ウォーターマークをソフト・バインディングとして使用します——それは、クラウド上にホストされたC2PAマニフェストを指し示す一意の識別子を保持します。メタデータを剥ぎ取り、フォーマットを変換し、空気を通して再生して録音し直す。それでもウォーターマークは残り続けます。検出器は識別子を抽出し、台帳に問い合わせ、完全な来歴記録を取得します。
来歴は、コンテンツとともに移動すべきものであり、誰かが「MP3としてエクスポート」をクリックした瞬間に剥ぎ取られるヘッダーの中に収まっているべきものではありません。
そして、プライバシーを心配する人のために——反体制のジャーナリストや匿名のアーティストが、それが本物だと証明するためだけに、自分の法的な氏名をファイルに添付する必要などあってはなりません。C2PAは、仮名によるクレームと選択的開示をサポートします。アーティストは、信頼できる第三者が発行した資格情報に紐づけられた「Verified Creator #892」として、自宅住所を明かすことなくトラックに署名できます。
もっとモデレーターを雇えばいいのでは?
経済的に不可能だからです。研究によれば、人間のモデレーターは、ニュアンスや文脈の検出においてより正確ですが、そのコストは約40倍も高く、自動化システムをはるかに上回ります。そして、人間の聴覚は生物学的に不十分になりつつあります——高品質なAIの音声クローンを本物の録音と区別することは、私たちの耳にできることの限界に近づきつつある一方で、機械にとっては数学的に扱いやすいままなのです。
業界が必要としているのは、ソフトウェアのスケールとコストで得られる、人間の判断のニュアンスです。それこそが、決定論的なウォーターマーク検出が提供するものです。ウォーターマークは、存在するか、しないかのどちらかです。解釈すべき信頼度スコアもなければ、判定を分けるために人間のレビュアーを必要とする確率曲線もありません。これにより、非収益化、フラグ付け、削除といった完全に自動化されたアクションを、法的水準の確実性をもって実行できるのです。
分かれ道
AIが音楽業界を破壊すると思うか、と人々に尋ねられることがあります。私はそうは思いません。音楽業界は大丈夫だと、私は思っています——ただし、前の時代のために作られたツールが、この時代でも通用するふりをやめれば、の話です。
フィンガープリントは、コンテンツが人間によって作られ、課題がコピーを識別することであった世界のために作られました。私たちは今、コンテンツが機械によって作られ、課題が起源を証明することである世界に生きています。これらは根本的に異なる問題であり、根本的に異なるインフラを必要とします。
ロイヤリティ支払いに対するSpotifyの1,000回再生という最低しきい値は、政策的なその場しのぎの絆創膏です。ユーザー中心の支払いモデルは、構造的な改善です。しかしどちらも、根本原因には対処していません。すなわち、プラットフォームは現時点で、新しいAIトラックと新しい人間のトラックの違いを見分けることができない、ということです。それが変わらない限り、他のあらゆる対策は、その下流にあるにすぎません。
生成の能力は、今やコモディティです。GPUかAPIキーさえあれば、誰でもパイプラインを氾濫させることができます。希少性は——したがって価値は——来歴へと移りました。重要なのは、何が作られたかではなく、誰がそれを作ったか、どのように、そしてそれが本物かどうかなのです。
AI音楽の未来は、最高のメロディを生成するモデルにあるのではありません。そのメロディが本物であり、報酬が支払われ、そして認識されることを保証するインフラにこそあるのです。
EU AI法や、審議中の米国のディープフェイク規制によって、ウォーターマークは任意から必須へと移りつつあります。問いは、業界が来歴の標準を採用するかどうかではありません。ロイヤリティ・プールが枯れ果てるまで搾り取られる前に採用するのか、それとも後になってから採用するのか、ということです。
私は、その賭けのどちら側に立って作っているのかを分かっています。ウォーターマークを入れられないなら、生成するな。これはスローガンではありません。それは、信頼できるオーディオのインターネットを可能にする、唯一の運用上の現実なのです。
