AI 会议记录安全审计：从 tl;dv 泄露事件挖出的服务商机
是什么
tl;dv 是一个 AI 会议记录平台（200 万用户，Google Meet/Zoom/Teams 机器人自动记录+转写+摘要）。安全研究员 bobdahacker 发现其 Firestore 数据库完全没有租户隔离：任何登录用户都能查询全部 181,874 条会议记录（含 84,312 个用户、35,003 个邮箱域名），包括 23 个国家政府部门、大学、大公司的会议。更严重的是报告后 6 个月漏洞仍未修复。
对副业的启示：企业正在大量采用 AI 会议工具（记录敏感商务会谈、面试、绩效），但几乎没人审计这些工具的安全配置。这正是可以切入的服务空白。
怎么赚钱
- 安全审计服务：给中大型企业审计其使用的 AI 会议/笔记工具（tl;dv、Fireflies、Otter 等）——测试租户隔离、公开权限、数据存储位置，出一份可执行的安全报告
- 合规咨询：配合等保/GDPR 要求，帮企业建立「AI 工具安全准入清单」
- 自托管迁移：对高危场景（HR 面试、法务会议），帮企业迁移到自托管/私有化方案
- 年度巡检订阅：每季度复查一次工具安全状态
为什么能赚钱
- 事件热度 = 需求教育：tl;dv 泄露事件让企业意识到「AI 会议记录工具可能裸奔」，安全负责人开始主动排查
- 真实案例支撑：文章给出完整技术路径（JWT → Firebase token → 查询集合），同类工具大概率存在类似问题，审计有明确抓手
- 竞争小：安全厂商关注大而全的渗透测试，单个 AI SaaS 工具的深度安全审查是缝隙市场
- 低成本高客单：一人 1-2 周可交付，客单 ¥3k-20k
实操步骤
- 通读 tl;dv 泄露文章，掌握 Firestore 租户隔离检查方法
- 用免费工具/注册试用账号，对 3-5 个主流 AI 会议工具做安全自查（验证思路可行性）
- 写一篇「AI 会议工具安全清单」文章（国内发公众号/知乎，海外发 HN/LinkedIn）建立专业形象
- 从本地 HR/法务/创业公司切入，提供「免费初筛 + 付费深度审计」漏斗
- 交付物标准化：审计报告模板 + 修复建议清单，降低边际成本
风险与坑
- ⚠️ 合规边界：做审计必须获得企业书面授权，不能擅自测试他人系统（tl;dv 作者是白帽流程但也要注意法律风险）
- ⚠️ 漏洞披露有伦理红线：发现问题应走负责任披露流程，不能公开利用
- ⚠️ 企业采购决策慢，需要销售耐心
- ⚠️ 国内 AI 会议工具生态与海外不同，需本地化调整审计清单
证据/验证
- 泄露事件原文：https://bobdahacker.com/blog/tldv-hack（curl 验证 HTTP 200，2026-08-04 发布）
- HN 讨论：https://news.ycombinator.com/item?id=49242739（95 分）
- tl;dv 官网：https://tldv.io（200 万用户、SOC2/GDPR 宣称，漏洞仍存在）