tl;dv의 회의 AI 베팅: 사용자 200만 명, 그리고 노출된 181,874건의 통화

2020년에 설립된 쾰른 소재 AI 회의 어시스턴트로, 봇이 Google Meet, Zoom, Teams 통화에 참여해 녹음·전사·요약하고 검색 가능한 클립을 Slack, Notion, CRM에 동기화한다.

팀들이 AI 노트테이커가 모든 회의에 참여해 녹음하고 분석하도록 기꺼이 허용할 것이며, 비동기 협업 도구는 보안 검증이 아니라 통합에서 승리할 것이라는 베팅이었다.

2022년 6월, 마드리드 소재 K Fund가 주도하고 Seedcamp, Mustard Seed Maze 등이 참여한 430만 유로 시드 라운드(Tech.eu 보도).

Raphael Allstadt는 업무가 원격으로 전환되던 시점인 2020년 4월 쾰른에서 tl;dv를 공동 창업했다. Tech.eu에 밝힌 그의 베팅은 '규모 있는 비동기 협업', 즉 회의에 참석하지 않은 사람이 나중에 소비할 수 있는 회의 녹음이었다. K Fund가 주도한 2022년 6월 시드 라운드가 이 가설을 뒷받침했고, 더 깊은 회의 제공자 통합과 검색·공유 계층에 자금을 투입했다.

회사는 통합을 통해 성장했다. Google Meet에 이어 Zoom 지원이 추가되었고, 클립은 Slack, Notion, HubSpot, Pipedrive에 동기화되었으며, 2026년까지 마케팅에서는 Salesforce, Forbes, Cloudflare를 포함해 200만 명 이상의 사용자를 주장했다. 2026년 1월 말, 보안 연구원 BobDaHacker가 문제의 핵심을 발견했다. Firestore의 'meetings' 컬렉션에 테넌트 격리가 없어서, 로그인한 tl;dv 사용자라면 누구나 모든 회의의 메타데이터, 즉 생성자 이메일, 제공자, 녹음 상태, 그리고 실시간 통화에 접근할 수 있는 회의 ID를 나열할 수 있었다. 어느 순간이든 약 1,000건의 통화가 활발히 녹음되고 있었다. 그는 2026년 1월 28일에 이를 신고하고 7월까지 후속 조치를 취했다. Dark Reading(2026년 8월 4일)은 노출이 여전히 유효하다는 점과 tl;dv가 자사 요청에도 응답하지 않았다는 점을 확인했다.

2026년 9월 2일 기준으로 여전히 유효했지만, 공개는 해결되지 않았다. Dark Reading에 따르면 최초 신고 후 6개월이 지나도 Firestore 컬렉션은 열려 있었고, 연구원은 157명이 참여한 말레이시아 교육부 통화와 대학 제품 세션에 진입한 사실을 기록했다. HN 프런트페이지 게시글(2026년 8월 10일, 633점)은 이 사건을 민감한 대화를 녹음하는 것이 전체 가치 제안인 제품에 대한 공개적 신뢰 위기로 만들었다.

팬데믹이 진짜 진입점을 만들었다. 이미 Meet/Zoom/Teams를 쓰던 팀들이 회의 행동을 바꿀 필요 없는 봇을 도입했다.

통합이 복리 효과를 냈다. Slack, Notion, CRM으로 푸시되는 녹음이 도구를 선택 사항이 아니라 필수처럼 느껴지게 했다.

단 하나 빠진 Firestore 규칙은 하나의 데이터 경로가 다른 부분이 테넌트 격리된 제품을 무효화할 수 있음을 보여준다.

침묵이 거래를 깨뜨렸다. 수정도 답변도 없는 6개월이 기술적 버그를 HN의 공개적 신뢰 위기로 바꿨다.

가장 민감한 대화를 녹음하는 제품은 신뢰 계약을 판다. 보호되지 않은 컬렉션 하나와 6개월의 침묵은 사용자 200만 명과 모든 통합 성과보다 더 큰 영향을 미칠 수 있다.

2026년 9월 2일 기준으로 tl;dv는 주장하는 200만 명 이상의 사용자와 함께 계속 운영되고 있지만, 1월에 신고된 Firestore 테넌트 격리 결함은 Dark Reading이 2026년 8월 4일 보도했을 당시에도 여전히 열려 있었고, 회사는 연구원이나 Dark Reading에 응답하지 않았다. 8월 10일 HN 프런트페이지 스레드(633점, 208개 댓글)가 이 이야기를 개발자 커뮤니티 전반에 퍼뜨렸다. 기준일까지 tl;dv의 공개적 수정, 재발 방지 공지, 또는 논평은 확인되지 않았고, 이는 기밀 통화의 안전한 녹음이라는 제품의 핵심 약속을 공개적으로 의문에 부치게 했다.