tl；dv 逾18.1万段AI会议录音被公开暴露，可实时闯入他人通话
AI会议记录平台tl；dv因缺乏租户隔离，导致18.1万段会议记录可被任意认证用户访问，涉及8.4万用户、3.5万域名，包括23国政府及高校会议，另有约1000场实时会议可被闯入。漏洞报告半年未修复。
原贴
查看原文原文
中文翻译
tl；dv 逾18.1万段AI会议录音被公开暴露，可实时闯入他人通话
AI会议记录平台tl；dv的Firestore数据库因缺乏租户隔离，任何已认证用户可查询全部18.1万段会议记录，涉及84，312名用户、35，003个域名，含23国政府及多所高校会议。处于录制状态的约1，000场会议会暴露可加入的会议ID，研究者借此闯入马来西亚教育部及美国某大学创业团队的实时通话。该漏洞自2026年1月报告后6个月仍未修复，另有超1，000段会议内容为公开状态。
核心信息
AI会议记录平台tl；dv因缺乏租户隔离，导致18.1万段会议记录可被任意认证用户访问，涉及8.4万用户、3.5万域名，包括23国政府及高校会议，另有约1000场实时会议可被闯入。漏洞报告半年未修复。
- tl;dv数据库无租户隔离，18.1万段会议记录泄露
- 涉及8.4万用户、3.5万域名，含23国政府
- 约1000场实时会议可被闯入，已成功演示
- 漏洞2026年1月报告，半年未修复
- 另超1000段会议内容公开
详细解读
这是一个典型的AI应用安全事件，暴露了AI初创公司在快速迭代中对访问控制设计的严重忽视。tl;dv作为AI会议记录工具，其Firestore数据库未实施租户隔离，导致任意已认证用户可遍历全部会议记录。这类数据泄露不仅涉及商业机密，还波及政府会议，性质极为严重。
为什么重要？会议记录是高度敏感的数据，包含战略决策、人事讨论、客户信息等。此次泄露覆盖23国政府及多所高校，意味着国际层面的信息安全隐患。更可怕的是，约1000场正在进行的会议暴露了会议ID，研究者可实时闯入，这对用户信任是毁灭性打击。漏洞自2026年1月报告后半年未修复，说明厂商安全响应机制存在严重缺陷。
对谁有价值？企业CTO、信息安全负责人、以及所有依赖AI会议工具的团队。他们需要审视当前工具的权限模型，评估数据泄露风险。安全研究人员则可将此作为案例，推动行业安全标准的建立。
可以怎么行动？首先，企业应立刻核查是否使用tl;dv，并暂停其使用或迁移敏感会议。其次，应建立AI工具安全评估流程，包括检查租户隔离、访问控制、数据加密等关键能力。最后，开发者应从该事件吸取教训，在设计阶段就实施强制隔离策略，避免类似漏洞。
风险或限制：该漏洞至今未修复，意味着风险仍在蔓延。用户难以自行检测此类后台漏洞，只能依赖安全社区或厂商透明度。此外，即使修复，已暴露的数据可能已被他人获取，后续影响难以估量。
信息差价值
此事件的信息差价值在于，它揭示了AI工具在数据安全上的普遍短板，而这些短板往往被用户忽略。对于企业决策者而言，这是一个重要的提醒：AI效率工具虽然便捷，但安全防护可能远未跟上数据敏感性。了解此风险，能在选择工具时多一层考察。
业务启发方面，对AI产品团队，这是构建安全竞争力的信号。在用户对数据隐私日益敏感的背景下，谁能率先通过安全认证、展示透明的权限机制，谁就能获得信任优势。同时，企业用户应建立第三方工具的安全审计机制，而非盲目信任。
可沉淀动作：建议制定一份AI工具安全评估清单，包括数据隔离、加密、访问日志、漏洞响应流程等关键项；定期审查所用工具的安全公告；对于高度敏感会议，避免使用存在安全隐患的平台，或部署本地化解决方案。