ツール 2026-08-10

会議に同席したAI議事録ツールに鍵がかかっていなかった——8万4312人の18万1874件の会議を、アカウントさえあれば誰でも読めた

セキュリティ研究者が月曜に公開した報告によれば、200万人超の利用者を持つAI会議記録ツール tl;dv は、ログイン済みのすべての顧客にデータベースを開いたままにしていた。原因は Firestore のセキュリティルールの欠落だ。ログインすると tl;dv は Firebase トークンを発行し、それで meetings コレクション全体を一覧できてしまう。企業間のデータの分離はまったくなかった。研究者は3万5003のメールドメインにまたがる8万4312人の利用者に関わる18万1874件の会議記録を数えた。そこには23か国の政府会議や、多数の学校・大学が含まれていた。漏れたものの大半はメタデータ——作成者のメールアドレス、時刻、録画の状態——だが、会議IDも含まれており、当時進行中だったおよそ千件の通話については、外部の人間がそのまま参加できたことを意味する。千件を超える会議は動画と文字起こしが完全に公開状態だった。別の社内ワールドカップ予想アプリには認証がまったくなく、43人の参加者が露出し、うち19人は氏名の分かる従業員だった。最悪なのは経緯である。研究者は2026年1月28日に tl;dv の最高経営責任者と最高技術責任者へ報告し、3月にかけて繰り返し催促したが、6か月後も穴は開いたままだった。同社の最高技術責任者は一度も返信しなかった。

なぜ重要か会議記録ツールは、誰も導入を決めないまま最も速く広まったAI製品だ。参加者の一人がボットを入れると、それ以降あらゆる通話に同席する——採用面接、患者との会話、懲戒の場、保護者面談、取締役会——何にも同意しておらず、多くの場合入室にすら気づいていない人々を記録しながら。つまりこれらのツールは、組織が公開フォルダには絶対に置かない類の素材が集まる場所であり、その保管者は、セキュリティが誰の調達チェック項目にもなっていないスタートアップである。今回の失敗は奇抜なものではない。データベースのルールが一つ欠けていただけの、直すのに半日で足りる種類の誤りが、研究者がメールを送り続ける6か月のあいだ放置された。今日から実行できる教訓は狭い。アカウントを管理している人が、通話への参加を許可されている議事録ツールを点検し、誰も意図して選んでいないものを外すことだ。より広い教訓はこうだ。どこかに存在する録音は、いつか誰かが読める録音である。

✓ 検証済み · 3ソース

アプリで読む——無料・9言語

会議に同席したAI議事録ツールに鍵がかかっていなかった——8万4312人の18万1874件の会議を、アカウントさえあれば誰でも読めた

関連ニュース