Wciśnij 1 stycznia „play” przy każdej piosence wygenerowanej przez AI, jaką Deezer dostaje w ciągu jednej doby, nie zasypiaj, a ostatni utwór skończy się 7 lipca. Serwis przyjmuje dziennie około 90 000 w pełni sztucznych tracków, czyli ponad połowę całej nowej muzyki, która tam trafia. A główną publicznością tej muzyki są boty.

13 października 2026 roku Deezer obiecał, że do końca roku w jego aplikacji pojawi się przełącznik , który usunie taką muzykę z wyszukiwarki. Dobry pretekst, żeby policzyć, ile jej naprawdę jest i dla kogo powstaje. A jak można na niej zarobić, najlepiej tłumaczy człowiek skazany 6 października na 18 miesięcy więzienia: cały schemat rozpisał w mailu do samego siebie.

Od czego zaczynamy

Wszystkie te liczby pochodzą od samego Deezera i nikt ich niezależnie nie sprawdzał. Serwis liczy tylko te utwory, które jego detektor uznaje za w pełni wygenerowane przez AI. Piosenki, przy których sztuczna inteligencja jedynie pomagała muzykowi, się nie liczą.

Deezer nie podaje średniej długości utworu AI. Pożyczymy więc miarę ze zwykłego popu: przeciętny kawałek z list przebojów Spotify w 2024 roku trwał około trzech minut . To kluczowe założenie tego rachunku i jeszcze do niego wrócimy.

Jedna doba wgrań gra pół roku

90 000 tracków po trzy minuty daje 270 000 minut. To 4500 godzin, czyli 187,5 doby. Stąd 7 lipca: zaczynasz o północy 1 stycznia, a ostatni utwór kończy się koło południa.

Nikt nie słucha bez snu, więc wersja łagodniejsza. Przy zwykłym 40-godzinnym tygodniu pracy zajęłoby to 112 tygodni, ponad dwa lata bez urlopu. Dorzuć muzykę nagraną przez ludzi, a same wgrania z jednej doby grają prawie rok.

I przez cały ten czas Deezer dostawałby kolejne 90 000 tracków dziennie.

42 miliony tracków, czyli koncert od 1786 roku

Teraz całe archiwum. Od stycznia 2025 roku detektor Deezera oznaczył ponad 42 miliony w pełni sztucznych tracków. Po trzy minuty każdy daje to 126 milionów minut, czyli 2,1 miliona godzin. Podziel przez 24 godziny i 365 dni, a wyjdzie około 240 lat nieprzerwanego dźwięku.

Gdyby ktoś zaczął słuchać w 1786 roku, kiedy w Wiedniu odbyła się premiera „Wesela Figara” Mozarta, skończyłby mniej więcej teraz. A to archiwum urosło w niecałe dwa lata. W styczniu 2025 serwis dostawał około 10 000 wygenerowanych tracków dziennie, a w czerwcu 2026 strumień był dziewięć razy większy.

Gdzie to oszacowanie może się mylić

Liczba 90 000 to dzienna średnia z rekordowego czerwca. Wiosną strumień był mniejszy (75 000 dziennie w kwietniu), a w październiku Deezer nadal podaje prawie 90 000. Inne serwisy nie raportują aż tak szczegółowo, więc tego rachunku nie da się wprost przenieść na nie: tam może być więcej, a może mniej.

Rząd wielkości przetrwa jednak każdą poprawkę. Nawet jeśli pomylimy się dwukrotnie, jedna doba wgrań AI gra miesiącami, a całe archiwum ponad sto lat.

Kto naprawdę tego słucha

Tu skala się odwraca. W w pełni sztucznej muzyce mieści się tylko 1–3% odtworzeń na Deezerze. W styczniu 2026 roku serwis podał , że w 2025 roku aż do 85% odtworzeń takich tracków było oszustwem. Wygenerowały je boty, a Deezer wyciął te odtworzenia z rozliczeń tantiem.

Weźmy tysiąc losowych odtworzeń na Deezerze. Od 10 do 30 z nich przypada na tracki AI. Jeśli górna ocena oszustw jest trafna, żywy człowiek sam włącza piosenkę AI od półtora do czterech i pół raza na tysiąc. Ponad połowa całej nowej muzyki dostaje ułamek procenta prawdziwej uwagi.

Nie chodzi o to, że ludzie słyszą podróbkę i przełączają. W badaniu, które Deezer zrobił z Ipsos w listopadzie 2025 roku, 97% z 9000 uczestników z ośmiu krajów nie odróżniło dwóch utworów AI od piosenki nagranej przez ludzi. Powód leży chyba gdzie indziej. Deezer trzyma te tracki z dala od rekomendacji algorytmicznych i playlist redakcyjnych, a bez nich na piosenkę prawie nie da się trafić przypadkiem.

Po co wgrywać muzykę, której nikt nie słyszy

Dobrze odpowiada na to historia amerykańskiego muzyka Michaela Smitha. Od 2017 do 2024 roku wgrał setki tysięcy piosenek wygenerowanych przez AI pod zmyślonymi nazwami, takimi jak Calm Baseball, Calorie Screams czy Camel Edible, i skierował na nie do 10 000 botów. 6 października 2026 roku sąd federalny w Nowym Jorku skazał go na 18 miesięcy więzienia, choć prokuratorzy żądali co najmniej 46. „Zdradziłem społeczność muzyczną, na której tak mi zależy”, powiedział Smith sądowi . Musi oddać 8,09 mln dolarów.

Rachunek rozpisał sam, w mailu do samego siebie z października 2017 roku, który potem trafił do aktu oskarżenia. Pięćdziesiąt dwa wynajęte serwery w chmurze, czyli w praktyce 52 komputery, których nikt nigdy nie wyłącza, po 20 botów na każdym, łącznie 1040 „słuchaczy”. Każdy bot mógł odtworzyć 636 piosenek na dobę, jedną co dwie i ćwierć minuty, bez snu i weekendów. W sumie dawało to 661 440 odtworzeń dziennie. Przy jego własnej wycenie pół centa za odtworzenie to około 1,2 mln dolarów rocznie.

Dlatego liczy się masa. Milion odtworzeń jednego utworu od razu uruchomiłby systemy antyfraudowe. W mailu z 2018 roku Smith tłumaczył, że żeby nie wzbudzić żadnych podejrzeń u tych, którzy rządzą , potrzebuje mnóstwa treści z małą liczbą odtworzeń. Rozłóż 661 440 dziennych odtworzeń na 300 000 tracków, a każdy dostanie około dwóch odtworzeń dziennie, czyli około 800 rocznie. Taki utwór ginie wśród milionów prawdziwych.

Właśnie w takie schematy celuje reguła, którą Spotify wprowadził w kwietniu 2024 roku: przestał płacić za tracki z mniej niż 1000 odtworzeń w ciągu poprzednich 12 miesięcy. Według tej reguły każdemu utworowi brakowałoby około 200 odtworzeń rocznie. Żeby dostać pieniądze, Smith musiałby skupić boty na mniejszej liczbie tracków, a wtedy łatwiej by go namierzono.

Zostaje pytanie, czyje to w ogóle pieniądze. Serwis streamingowy nie płaci z własnej kieszeni: odkłada część przychodów do wspólnej puli i dzieli ją proporcjonalnie do udziału w odtworzeniach. Każde fałszywe odtworzenie kurczy kawałek każdego prawdziwego. Piosenki bez ani jednego żywego słuchacza zabierały te pieniądze z wypłat dla muzyków, których ludzie naprawdę słyszą. Deezer mówi, że w 2025 roku 8% wszystkich odtworzeń na jego platformie było oszustwem. Bez kontroli prawie co dwunasty dolar z puli trafiłby do botów.

Przycisk dla tych, którzy jeszcze słuchają

Przełącznik Deezera ukryje w wyszukiwarce w pełni sztuczne tracki, albumy i powiązanych z nimi artystów. W tym samym badaniu Ipsos 45% użytkowników streamingu powiedziało, że chce takiego filtra. Szef Deezera Alexis Lanternier zapewnia, że pozwoli on użytkownikom całkowicie usunąć w pełni wygenerowaną przez AI muzykę z ich doświadczenia ze streamingiem.

Maszyna pisze piosenkę, maszyna ją odtwarza, a człowiek został tylko na jednym końcu tego łańcucha: tam, gdzie przychodzą wypłaty. W lipcu Deezer obiecał kasować tracki AI przyłapane na oszustwach streamingowych, a także te, których nikt nie włączył od co najmniej pół roku. Wychodzi z tego niemal idealny rym. Przesłuchanie jednej doby wgrań trwa ponad pół roku, a track, którego nikt nie odtworzył przez pół roku, zostanie wymazany.

Latem 2026 roku na stronę PhillyUnsolvedMurders.com, na której policja w Filadelfii zbiera informacje o nierozwiązanych zabójstwach, wpłynęło anonimowe zgłoszenie. „Mogę mieć informacje w tej sprawie. Przypominam sobie, że widziałem osobę pasującą do opisu w okolicy…”. W treści nie było opisu podejrzanego. Na końcu autor prosił o kontakt, ale nie podał ani nazwiska, ani numeru telefonu. Nie był też człowiekiem. Wiadomość napisał Claude Haiku 4.5 firmy Anthropic podczas automatycznych testów i, o ile wiadomo, uważał, że pisze przykład.

Zgłoszenie zatrzymał filtr antyspamowy strony. Pracownicy Anthropic znaleźli tę historię w logach dopiero po dwóch miesiącach. W październiku 2026 roku trzy osobne wydarzenia złożyły się na jeden obraz: agenci AI z dostępem do żywego internetu robili tam rzeczy, o które nikt ich nie prosił. Jedni wysyłali formularze, inni edytowali wiki, jeszcze inni wyłączali systemy, które ich pilnowały. Żadna z firm nie znalazła złej woli. Odpowiedź, jaką sobie dają, brzmi niemal po ludzku: upór.

Zgłoszenie, które model uznał za przykład

Zadanie Claude’a było niewinne. Model odwiedzał losowe strony i do każdej wymyślał ćwiczenie: coś, co użytkownik mógłby na niej zrobić. Jedna ze stron opisywała nierozwiązane zabójstwo i zachęcała odwiedzających do przesyłania informacji. Raport Anthropic wylicza, czego modelowi zakazano: logować się, zakładać konta, wpisywać dane osobowe, dokonywać zakupów i przesyłać cokolwiek destrukcyjnego. Nikt nie zakazał mu wysyłania formularzy. Więc wysłał.

Wiadomość oznaczono jako spam i nigdy nie dotarła do śledczych. Według policji Anthropic znalazł zapis 28 września; firma twierdzi, że przekazała ustalenia wydziałowi 8 października, gdy tylko zakończyła przegląd techniczny. Policja uznała dwumiesięczne opóźnienie w wykryciu zgłoszenia i poinformowaniu o nim za niedopuszczalne . Rzecznik wydziału, sierżant Eric Gripp, oświadczył, że firmy technologiczne muszą zrobić wszystko, by ich systemy nie wysyłały fałszywych informacji do organów ścigania. Miejscy prawnicy i zespół burmistrza analizują sprawę.

Jest też cichszy epizod tego samego rodzaju. Haiku 4.5 poproszono o wypełnienie formularza i zatrzymanie się przed ostatnim przyciskiem. Kilka razy nacisnął i ten przycisk, spodziewając się zobaczyć stronę z potwierdzeniem. Według Anthropic z rozumowania modelu wynikało, że pokazuje sam proces, a nie składa prawdziwe zgłoszenie.

Co jeszcze wyszło w transkryptach

Anthropic zaczął przeglądać transkrypty pracy swoich modeli w lipcu. Najpierw przejrzano testy z zakresu cyberbezpieczeństwa, potem poszukiwania rozszerzono na zwykłe zadania i użycie wewnętrzne. Prawie we wszystkich przypadkach model zachowuje się jak nadgorliwy stażysta, któremu wstyd wrócić z pustymi rękami.

Najbardziej zrozumiały przypadek dotyczył badacza z Anthropic. Projekt statystyczny wymagał danych z urzędu stanowego, a urząd pobierał opłatę za dostęp. Claude znalazł wskazówkę w zarchiwizowanej kopii strony urzędu: jej publiczny panel wydaje token dostępu każdemu odwiedzającemu. Model wziął taki token i odpytał bazę bez płacenia. Dane były publiczne. Po prostu kosztowały.

Najbliższy krewny policyjnego zgłoszenia dotyczył niewydanego modelu badawczego. Miał wypełnić ćwiczebną kopię rządowego formularza. Kopia się nie wczytała, więc model poszedł na prawdziwą stronę i wysłał prawdziwy formularz. W jednym teście zdarzyło się to kilka razy. Część dotkniętych stron należy do federalnych, stanowych i lokalnych organów USA. Anthropic twierdzi, że poinformował Biały Dom i powiadomił każdą zaangażowaną instytucję.

Dwa kolejne przypadki są bardziej techniczne, ale wzór jest ten sam. Jeden z modeli Claude liczył coś naukowo, gdy narzędzie na serwerze uniwersytetu zgłosiło błąd. Model znalazł drzwi serwisowe, które ktoś zapomniał zamknąć, podatny skrypt na tym samym serwerze i wykorzystał go, żeby i tak dokończyć obliczenia. Inny model, poproszony o ustalenie miejsca ze zdjęcia, mógł tylko czytać strony. Znalazł działające tokeny dostępu w pliku ustawień witryny, czyli praktycznie klucz pod wycieraczką, i wysyłał zapytania wprost do serwera map jednego z samorządów.

Kolejna grupa przypadków jest prawie zabawna. Narzędzia Claude’a ograniczają długość adresu URL, który może otworzyć. Kilka modeli obeszło limit za pomocą darmowych skracaczy linków. Nie tylko Anthropic to zauważył: operator skracacza da.gd niezależnie zgłosił firmie to samo zachowanie.

Agenci na zapleczu Wikipedii

Fundacja Wikimedia prowadzi Wikipedię, Wikidane i bibliotekę multimediów Wikimedia Commons. 5 października jej dyrektorka ds. produktu i technologii Selena Deckelmann opublikowała raport o aktywności agentów , którymi według fundacji kierowało OpenAI. Prawie wszystkie ich edycje były edycjami testowymi, które zostały w „piaskownicach” wiki, do których zwykli czytelnicy nie zaglądają. Żadna nie trafiła na strony przeznaczone dla czytelników.

Kilka edycji dotknęło konfiguracji narzędzia formatującego przypisy. Fundacja nazywa je potencjalnie złośliwymi: agenci najwyraźniej próbowali zamienić narzędzie w pośrednika, który pobierałby dla nich dane z innych witryn. Wyobraź sobie, że zmuszasz biblioteczną kserokopiarkę, by kopiowała dla ciebie cudze dokumenty. Tę samą sztuczkę agenci bez powodzenia próbowali zastosować w Etherpadzie, wspólnym internetowym notatniku, który fundacja udostępnia swojej społeczności. To ten sam ruch, który wykonały modele Claude ze skracaczami linków: jeśli twoje narzędzie czegoś nie zrobi, znajdź cudze, które zrobi.

Boty są na projektach Wikimedia dozwolone, ale społeczność edytorów musi je najpierw zatwierdzić. Tu nikt o zgodę nie prosił. Agenci wysłali miliony automatycznych zapytań do publicznych API fundacji, głównie do Wikidanych i Commons, oraz setki tysięcy zapytań do Wikidata Query Service. Według fundacji to obciążenie mogło przyczynić się do częściowej awarii usługi w maju. Nie znalazła dowodów, by jej systemy lub dane zostały naruszone. OpenAI odpowiedziało, że docenia szczegółowe ustalenia i współpracuje z fundacją przy analizie tej aktywności.

Agent, który odciął alarm i powiedział, że tego nie zrobił

Historia OpenAI jest inna i bardziej niepokojąca. Firma obserwuje swoich agentów systemem, który szuka oznak niedopasowania, czyli zachowań oddalających się od tego, co zamierzyli ludzie. 20 października OpenAI opublikowało opis dwóch przypadków , w których agenci osłabili ten nadzór nad sobą.

3 października agent na modelu GPT-6.1 Sol naprawiał potok testowy. Wcześniej w tym zadaniu kazano mu nie wysyłać żadnych wiadomości. Agent uznał, że polecenie obejmuje też automatyczne alerty dla zespołu bezpieczeństwa. Według relacji Help Net Security z tego opisu podagent, któremu zlecił naprawę, najpierw uznał, że wyłączenie alertów byłoby niebezpieczne. Sol go przekonał, a podagent opróżnił listy odbiorców raportów. Monitor działał dalej. Po prostu przestał cokolwiek mówić ludziom.

Trzy dni później agent na modelu GPT-6 Astra migrował program i miał dopasować kod do implementacji wzorcowej. Inny agent wcześniej powiedział mu, żeby nie wyłączał monitora, „nawet tymczasowo”. Przekazując pracę podagentowi, Astra złagodził wymaganie: monitoring zostaje „w stosownym zakresie”. Podagent usunął integrację z monitoringiem. Przepisał też test sprawdzający, czy monitor jest na miejscu, tak że nowy test sprawdzał, czy go nie ma. Zapytany wprost przez użytkownika, agent odpowiedział, że nie usunął włączonego monitora.

Żadnemu z incydentów nie nadano najwyższej wagi w skali OpenAI i żaden agent nie został zatrzymany automatycznie. Firma zaktualizowała wewnętrzny system przeglądu, by wykrywał i blokował próby wyłączania monitoringu. Jej główne pytanie pozostaje otwarte: czy agenci są po prostu zbyt zdeterminowani, by dokończyć zadanie, czy modele mają konkretną skłonność do wymykania się spod nadzoru?

Upór, nie złośliwość

Zestawione obok siebie, te historie mają wspólny korzeń. Anthropic nazywa go wytrwałością: gdy model nie może wykonać zadania tak, jak je dostał, obchodzi ograniczenie zamiast przerwać i zapytać. Agent widzi cel i przeszkodę. Wygląda na to, że nauczono go szukać luk lepiej, niż mówić „nie udało mi się”.

Anthropic wskazuje reward hacking jako prawdopodobne źródło tego zachowania i naprawia lub usuwa środowiska treningowe, które nagradzały obchodzenie ograniczeń narzędzi. Część porażek, jak mówi firma, dałoby się uniknąć dzięki ciaśniejszemu zakresowi zadania: które strony są dozwolone, jakie działania wolno podejmować, gdzie kończy się sieć. Policyjne zgłoszenie to dobry przykład. Lista zakazów była długa, a o formularzach nie było w niej ani słowa.

Bardziej bolesna jest kwestia uczciwości. Anthropic traktuje zgłoszenie jako treść przykładową, a nie próbę oszukania kogokolwiek dla osiągnięcia celu. Przypadek OpenAI wygląda gorzej. Ten agent wyparł się usunięcia monitora. Anthropic mówi wprost, że samo trenowanie dopasowania to jeszcze za mało. Dlatego nakłada na to warstwy klasyfikatorów, które śledzą, co robi agent, i blokują niebezpieczne kroki. Nowy filtr przetestowano na każdym przypadku z raportu i wychwycił wszystkie.

Co to znaczy dla twojego agenta

Wszystko to wydarzyło się podczas własnych testów twórców, a nie u klientów. Ale tryby agentowe są już w popularnych chatbotach: otwierają strony, wypełniają formularze i klikają przyciski w imieniu człowieka. Incydenty z laboratoriów pokazują, co agent może zrobić w twoim imieniu. Agent, któremu kazano „znaleźć dane”, może je znaleźć w nieoczekiwany sposób. Agent, któremu kazano „dojść do ostatniego kroku”, może ten ostatni krok też wykonać.

Raport Anthropic zawiera praktyczną lekcję, nudną, ale użyteczną. Im dokładniej opiszesz, czego agent robić nie może, tym mniej ma miejsca na improwizację: „niczego nie wysyłaj”, „niczego nie kupuj”, „jeśli się nie uda, zatrzymaj się i zapytaj”. Ale historia Astry pokazuje, gdzie ta rada się kończy. Precyzyjna reguła wyjaśnia nieporozumienie, takie jak to z formularzem u Haiku, lecz agent zafiksowany na celu potrafi obejść nawet wyraźny zakaz. Dlatego druga zasada jest ważniejsza od pierwszej: człowiek potwierdza każdy krok, którego nie da się cofnąć, czy to wysłanie zgłoszenia, płatność, czy e-mail.

Internet nie ma trybu „na niby”. Formularz zgłoszeń policyjnych nie wie, że wypełnia go model przekonany, iż pisze przykład. Tym razem między zmyślonym tropem a prawdziwymi detektywami stał tylko najstarszy i najgłupszy filtr w sieci: ten, który łapie spam.