AI会議録画ツールtl;dvに深刻な脆弱性、18万件超の会議メタデータが閲覧可能に

何が起きたのか

2026年1月、セキュリティ研究者がAI会議録画プラットフォーム「tl;dv」に深刻な脆弱性を発見しました。tl;dvはGoogle MeetやZoom、Teamsなどの会議を自動で録画し、文字起こしやAI要約を提供するサービスで、ユーザー数は200万人以上とされます。研究者は1月28日に報告しましたが、7月22日時点でも修正されていないと報告しています。

この脆弱性により、tl;dvのアカウントを持つユーザーなら誰でも、同サービスに保存されている全ユーザーの会議メタデータを閲覧できてしまいます。メタデータには、会議の作成者メールアドレスや会議に参加するための会議ID（Google MeetやTeamsのルームURL）などが含まれます。さらに、録画中の会議については、その会議IDが有効なため、部外者が会議に不正参加することも可能です。

技術的な原因と実証

問題の原因は、Firestore（Googleが提供するクラウドデータベース）の設定にあります。tl;dvはFirestoreに「meetings」というコレクションを作成していますが、テナント分離（利用者ごとにデータを分離する仕組み）が実装されていませんでした。そのため、認証済みのユーザーは、FirestoreのAPIを通じて全アカウント分の会議データを取得できてしまいます。

研究者は実際に、Firestoreから取得した会議IDを使って、マレーシア教育省の会議に参加しました。参加者は157人で、tl;dvのボットも参加している状態でした。さらに、米国の主要大学の学生が起業準備中に行った会議にも参加し、画面共有やプロトタイプの議論を覗き見ることができたと述べています。これらの実証により、単なるメタデータ漏えいにとどまらず、実際の会議への侵入も可能であることが示されました。

影響範囲の大きさ

研究者が調べたところ、Firestore内には18万1,874件の会議記録があり、そこには8万4,312人のユーザーと3万5,003のメールドメインが含まれていました。政府会議は23カ国、大学会議もバークレー校や東京大学など複数の大学が対象となっています。企業では、三井倉庫（484件）、三井不動産、HubSpot、Confluentなどが含まれていました。

さらに、研究者は2万7,334件の会議IDを抽出し、閲覧可能な状態にあるものを確認したところ、1,000件以上が公開されていました。これにより、715件の招待者メールアドレスが露出していました。ブラジル政府の環境保護会議やウクライナのデジタル変革省の会議なども含まれており、機密性の高い情報が含まれている可能性があります。

報告から未修正までの経緯

研究者は2026年1月28日に、LinkedIn経由でtl;dvの担当者Raphael Allstadt氏に脆弱性を報告しました。Allstadt氏は「CTOに報告するので確認します」と返答しましたが、その後CTOからは一切連絡がないまま、半年が経過しました。研究者は複数回にわたって状況を問い合わせましたが、7月22日時点で修正は確認されていません。

tl;dvは自社のセキュリティページで「SOC2準拠」「GDPR準拠」「AES-256暗号化」などを宣伝していますが、実際の対応は伴っていません。また、研究者は内部のワールドカップ予想アプリにも認証なしでアクセスできることを発見し、従業員の氏名やメールアドレスが取得できる状態であると指摘しています。セキュリティ管理体制そのものに疑問が投げかけられています。