Le pari de tl;dv sur l'IA de réunion : 2 M d'utilisateurs, puis 181 874 appels exposés

Assistant de réunion IA basé à Cologne (fondé en 2020) dont le bot rejoint les appels Google Meet, Zoom et Teams pour les enregistrer, les transcrire et les résumer, en synchronisant des extraits consultables avec Slack, Notion et les CRM.

Que les équipes accepteraient volontiers qu'un preneur de notes IA rejoigne, enregistre et exploite chaque réunion — et que les outils de collaboration asynchrone l'emporteraient grâce aux intégrations, et non grâce à l'examen de sécurité.

Tour de financement d'amorçage de 4,3 M€, en juin 2022, mené par K Fund, basé à Madrid, avec Seedcamp, Mustard Seed Maze et d'autres (selon Tech.eu).

Raphael Allstadt a cofondé tl;dv à Cologne en avril 2020, au moment où le travail est passé au distanciel. Son pari, comme il l'a déclaré à Tech.eu, était la « collaboration asynchrone à grande échelle » : des enregistrements de réunions que les personnes absentes pourraient consulter plus tard. Le tour d'amorçage de juin 2022 mené par K Fund a soutenu cette thèse, finançant des intégrations plus poussées avec les fournisseurs de réunions et la couche de recherche et de partage.

L'entreprise s'est développée grâce aux intégrations : la prise en charge de Zoom a suivi Google Meet, les extraits ont été synchronisés avec Slack, Notion, HubSpot et Pipedrive, et en 2026 le marketing revendiquait plus de 2 millions d'utilisateurs, dont Salesforce, Forbes et Cloudflare. Fin janvier 2026, le chercheur en sécurité BobDaHacker a découvert le hic : la collection Firestore « meetings » n'avait pas d'isolation entre locataires, si bien que tout utilisateur connecté à tl;dv pouvait lister les métadonnées de chaque réunion — e-mail du créateur, fournisseur, statut d'enregistrement, et un identifiant de conférence permettant d'atteindre l'appel en direct. Environ 1 000 appels étaient activement enregistrés à tout moment. Il l'a signalé le 28 janvier 2026 et a relancé jusqu'en juillet ; Dark Reading (4 août 2026) a confirmé que l'exposition était toujours active et que tl;dv n'avait pas non plus répondu à ses demandes.

Toujours active au 2 septembre 2026, mais la divulgation restait sans résolution : six mois après le premier signalement, la collection Firestore restait ouverte selon Dark Reading, tandis que le chercheur documentait son entrée dans un appel du ministère malaisien de l'Éducation réunissant 157 participants et dans une session produit universitaire. Le post en première page de HN (10 août 2026, 633 points) a transformé l'épisode en crise de confiance publique pour un produit dont toute la proposition de valeur consiste à enregistrer des conversations sensibles.

La pandémie a créé un véritable point d'entrée — des équipes déjà sur Meet/Zoom/Teams ont adopté un bot qui n'exigeait aucun changement de comportement en réunion.

Les intégrations ont fait l'effet cumulé : les enregistrements poussés vers Slack, Notion et les CRM rendaient l'outil indispensable plutôt qu'optionnel.

La seule règle Firestore manquante montre comment un seul chemin de données peut invalider un produit par ailleurs isolé entre locataires.

Le silence a rompu le contrat : six mois sans correctif ni réponse ont transformé un bug technique en crise de confiance publique sur HN.

Un produit qui enregistre les conversations les plus sensibles vend un contrat de confiance : une collection non sécurisée plus six mois de silence peuvent peser plus lourd que 2 M d'utilisateurs et toutes les intégrations réussies.

Au 2 septembre 2026, tl;dv continue de fonctionner avec ses plus de 2 M d'utilisateurs revendiqués, mais la faille d'isolation entre locataires de Firestore signalée en janvier était toujours ouverte lorsque Dark Reading a publié le 4 août 2026, et l'entreprise n'avait répondu ni au chercheur ni à Dark Reading. Le fil en première page de HN du 10 août (633 points, 208 commentaires) a diffusé l'histoire dans la communauté des développeurs. Aucun correctif public, avis de remédiation ou commentaire de tl;dv n'avait été confirmé à la date de référence, laissant la promesse centrale du produit — l'enregistrement sûr d'appels confidentiels — publiquement en question.