App de IA para reuniões expõe 180 mil chamadas ao vivo: entre elas, uma reunião do governo brasileiro

Um assistente de inteligência artificial pensado para facilitar reuniões virou, por meses, uma porta aberta para espionar encontros de governos e empresas ao redor do mundo. Segundo o pesquisador de segurança conhecido como BobDaHacker, o tl;dv, aplicativo que entra em chamadas do Zoom, Google Meet e Microsoft Teams para gravar e resumir o que foi dito, tinha uma falha capaz de expor mais de 181 mil reuniões a qualquer pessoa com uma conta na plataforma.

O tl;dv funciona como um participante a mais na chamada: você o convida, ele grava, transcreve e depois entrega um resumo automático do encontro. O problema estava no banco de dados usado para organizar essas gravações, batizado de Firestore, que deveria isolar as informações de cada cliente e não fazia isso. Na prática, qualquer usuário autenticado no tl;dv conseguia consultar o histórico de reuniões de outras contas, com o e-mail de quem criou cada encontro e o link direto para entrar nele. Ao todo, o pesquisador contou 181.874 registros de reuniões ligados a mais de 84 mil usuários espalhados por 35 mil domínios de e-mail diferentes.

O detalhe mais alarmante é que a falha não se limitava a olhar dados antigos. Em qualquer momento, havia em média cerca de mil reuniões marcadas como “gravando” naquele instante, ou seja, chamadas ao vivo com o link exposto. O pesquisador relata que, ao se passar pelo próprio assistente de IA do tl;dv e pedir para entrar nessas chamadas, conseguia acesso em cerca de 80% das tentativas, sem qualquer convite legítimo. Entre os encontros encontrados dessa forma estavam reuniões de governos de 23 países, incluindo um encontro do governo brasileiro sobre o Pacto Mata Atlântica, programa de conservação que reúne organizações como WWF, The Nature Conservancy e o governo do estado de São Paulo.

Para quem nunca ouviu falar em Firestore ou em “isolamento entre contas”, o resumo prático é simples: uma empresa de tecnologia guardou dados de clientes diferentes numa mesma gaveta sem trava, e qualquer pessoa com acesso à gaveta podia remexer no que não era dela. Isso vale tanto para uma reunião de trabalho comum quanto para uma negociação sigilosa ou uma reunião de governo, e é justamente esse tipo de conteúdo sensível que apps de anotação por IA como o tl;dv prometem tratar com cuidado.

O caso também expõe um problema que vem se repetindo com ferramentas de IA que ganharam espaço rápido demais: a falha foi reportada à empresa em janeiro de 2026, e o pesquisador afirma que, meses depois, ainda não havia recebido confirmação de correção nem resposta consistente da equipe responsável. Enquanto isso não muda, qualquer reunião marcada com o tl;dv carrega um risco que a maioria dos participantes provavelmente desconhece. Vale conferir, antes de aceitar um convite de reunião com um assistente de IA acoplado, quem realmente tem acesso ao que for dito ali dentro.