档案库 · 开发与企业工具 · 技术决策 · 2020–2026
tl;dv 的会议 AI 豪赌：200 万用户后，181,874 通电话泄露
科隆的 tl;dv 押注团队会允许 AI 机器人录制每一通电话；到 2026 年它有了 200 万用户，还有个 Firestore 漏洞暴露了 181,874 场会议。
tl;dv
做的是什么生意
Cologne-based AI meeting assistant (founded 2020) whose bot joins Google Meet, Zoom and Teams calls to record, transcribe and summarize them, syncing searchable clips to Slack, Notion and CRMs.
启动资金：€4.3M seed round, June 2022, led by Madrid-based K Fund with Seedcamp, Mustard Seed Maze and others (per Tech.eu).
起因
Raphael Allstadt co-founded tl;dv in Cologne in April 2020, at the moment work went remote. His bet, as he told Tech.eu, was 'asynchronous collaboration at scale': recordings of meetings that people who were not there could consume later. The June 2022 seed led by K Fund backed that thesis, funding deeper meeting-provider integrations and the search-and-share layer.
经过
The company grew on integrations: Zoom support followed Google Meet, clips synced to Slack, Notion, HubSpot and Pipedrive, and by 2026 marketing claimed more than 2 million users including Salesforce, Forbes and Cloudflare. In late January 2026, security researcher BobDaHacker found the catch: the Firestore 'meetings' collection had no tenant isolation, so any signed-in tl;dv user could list every meeting's metadata - creator email, provider, recording status, and a conference ID that could reach the live call. Roughly 1,000 calls were actively recording at any moment. He reported it on Jan 28, 2026 and followed up through July; Dark Reading (Aug 4, 2026) confirmed the exposure was still live and that tl;dv did not reply to its requests either.
结果
Still live as of Sept 2, 2026, but the disclosure was unresolved: six months after the first report the Firestore collection remained open per Dark Reading, while the researcher documented entering a Malaysian education-ministry call with 157 participants and a university product session. The HN front-page post (Aug 10, 2026, 633 points) turned the episode into a public trust crisis for a product whose entire value proposition is recording sensitive conversations.
背景
tl;dv 是一家总部位于科隆的 AI 会议助手，由拉斐尔·阿尔施塔特于 2020 年 4 月创立，赌注很简单：远程办公兴起后，团队希望每通电话都能录制、转写并搜索，以便错过的人补上进度——即“大规模异步协作”。2022 年 6 月的 430 万欧元种子轮由 K Fund 领投，Seedcamp 等参与，资金用于发展 Google Meet、Zoom、Slack、Notion 和 CRM 的集成。
增长得益于巧妙的切入点：用户邀请机器人加入他们已有的通话，无需改变行为。到 2026 年，公司声称全球用户超 200 万，包括 Salesforce、Forbes 和 Cloudflare，同时仅靠种子资金和营收运营。
2026 年 1 月底，安全研究员 BobDaHacker 发现产品 Firestore 的“会议”集合没有租户隔离：任何登录用户都能列出所有账户的会议信息，包括创建者邮箱、录制状态以及实时通话的会议 ID。他于 1 月 28 日报告，并通过 7 月反复跟进，但未获公司回应。Dark Reading 于 2026 年 8 月 4 日独立确认漏洞仍存在，公司也未回复其询问。
事件通过研究员的报告和 Dark Reading 的报道公开；2026 年 8 月 10 日，Hacker News 帖子登上首页，得分 633，评论 208。截至 2026 年 9 月 2 日，tl;dv 仍在运营，但此事件成为未解决的信任危机，而该产品的业务就是倾听人们最私密的对话。
这件事要成立，得有什么
- 疫情打开了真实缺口——已经在用 Meet/Zoom/Teams 的团队采用了一个无需改变会议习惯的机器人。
- 集成带来复利：录制内容推送到 Slack、Notion 和 CRM，让工具变得不可或缺。
- 那一条缺失的 Firestore 规则表明，一个数据路径就可能让本该租户隔离的产品失效。
- 沉默破坏了一切：六个月没有修复或回应，把技术故障变成了 Hacker News 上的公共信任危机。
可借鉴之处
一个记录最敏感对话的产品，卖的是信任契约：一个未设防的集合加上六个月的沉默，足以盖过 200 万用户和所有集成成果。
后续进展
截至 2026 年 9 月 2 日，tl;dv 继续运营并声称用户超 200 万，但 1 月报告的 Firestore 租户隔离漏洞在 2026 年 8 月 4 日 Dark Reading 发文时仍未修复，公司也未回应研究员和 Dark Reading。8 月 10 日的 Hacker News 首页帖子（633 分，208 评论）在开发者社区广泛传播。截至该日期，公司未确认任何公开修复、补救措施或评论，产品“安全记录机密通话”的核心承诺受到公开质疑。
资料来源
- AI Notetaker Lets Hackers Spy on Government, Corporate Video Calls
- tl;dv (Too Lazy; Didn't Validate): 181,874 Meetings Left Wide Open
- Inside the tl;dv Flaw That Exposed Live Government and Corporate Meetings
- Catch up on meetings in minutes? tl;dv picks up €4.3 million to show how
发现哪里写错了？告诉我们。
轮到你了
你刚读完一家。说说你在做什么，看看谁在赌同一件事。
免费账号 · 3 次免费提问 · 不用绑卡