Lovable negocia una ronda de 300 millones de dólares que duplicaría su valoración hasta los 13.200 millones, pero las brechas de seguridad empañan la euforia

Para contextualizar, la ronda Serie B de la empresa en diciembre de 2025 recaudó 330 millones de dólares con una valoración de 6.600 millones, liderada por CapitalG (el brazo de inversión de Alphabet) y el fondo Anthology de Menlo Ventures, con la participación de NVentures (Nvidia), Salesforce Ventures, Databricks Ventures y otros .

Fundación y antecedentes de la empresa

Lovable fue fundada en 2023 en Estocolmo, Suecia, por Anton Osika (CEO) y Fabian Hedin (CTO) . El producto se lanzó como GPT Engineer, un proyecto de código abierto que Osika publicó a mediados de 2023 y que consiguió unas 50.000 estrellas en GitHub antes de comercializarse y renombrarse como Lovable en diciembre de 2024 . El cambio de nombre indicó un giro: de ser una herramienta para programadores a una plataforma para un público más amplio y sin conocimientos técnicos .

El CEO Anton Osika trabajó anteriormente en física de partículas en el CERN y fue el primer empleado e ingeniero de la startup sueca de inteligencia artificial Sana Labs, convertida en unicornio . Ambos cofundadores se convirtieron en multimillonarios tras la ronda de diciembre de 2025, con 35 y 31 años respectivamente. Forbes calculó que cada uno posee aproximadamente el 24% de la empresa .

Capacidades del producto

Lovable es una plataforma de "vibe coding" impulsada por inteligencia artificial que genera aplicaciones web completas a partir de instrucciones en lenguaje natural. Un usuario describe una idea en texto y la IA crea una aplicación funcional — con frontend, backend y base de datos — en cuestión de segundos . Está dirigida a emprendedores no técnicos, autónomos y equipos que quieren crear prototipos y lanzar aplicaciones completas sin escribir código .

Hitos de ingresos: el crecimiento SaaS más rápido de la historia

Múltiples fuentes describen el crecimiento de Lovable como algo sin precedentes en la historia del software :

• 10 millones de dólares de ARR en 60 días con solo 15 empleados .
• 100 millones de dólares de ARR en 8 meses, más rápido que OpenAI, Cursor y Wiz .
• 400 millones de dólares de ARR en febrero de 2026 con aproximadamente 146 empleados .
• 500 millones de dólares de ARR (anualizados) a mediados de 2026, confirmados en el momento del cierre de la Serie B .

La empresa triplicó sus ingresos entre su ronda anterior y la Serie B de diciembre de 2025 .

Plantilla y equipo

En febrero de 2026, Lovable empleaba a unas 146 personas para gestionar una tasa de ingresos anualizados de 400 millones de dólares . La empresa se describe en LinkedIn como "un pequeño equipo europeo de fundadores en serie, ingenieros de producto, físicos y programadores competitivos" .

Lista de inversores

Lovable ha acumulado una lista de inversores de primer nivel a lo largo de sus rondas de financiación:

Fuentes:

Posicionamiento competitivo en el espacio del 'vibe coding'

Lovable opera en el mercado del 'vibe coding', que crece rápidamente y alcanzó un valor estimado de 4.700 millones de dólares en 2026. El 63% de los usuarios no son programadores .

El panorama competitivo incluye a Cursor, Bolt.new, Replit Agent, v0 (Vercel), Windsurf y Claude Code .

Según los datos de demanda de Upwork de enero de 2025 a abril de 2026, Lovable apareció en 6.243 ofertas de empleo, frente a las 5.373 de Cursor, lo que los convierte en el claro número 1 y número 2, muy por delante de Bolt y Replit . Las menciones a Lovable crecieron un 627% durante el periodo .

El consenso del sector sitúa a Lovable como la mejor herramienta para usuarios no técnicos que quieren aplicaciones completas a partir de una sola instrucción. Cursor domina la programación supervisada por ingenieros profesionales, y Bolt.new se considera potente para demostraciones, pero frágil ante la complejidad real .

Sin embargo, Lovable no está considerada una herramienta "preparada para empresas" — carece de certificaciones SOC 2, ISO e HIPAA —, a diferencia de plataformas como Clarista, lo que limita su expansión hacia grandes clientes .

Preocupaciones de seguridad: el mayor riesgo sin resolver

Este es el riesgo no resuelto más importante para la ronda de 300 millones de dólares pendiente y para toda la categoría del 'vibe coding'. En 2026 se produjeron tres incidentes de seguridad documentados en Lovable, todos reconocidos públicamente.

La exposición de 48 días (3 de febrero – 20 de abril de 2026)

Una vulnerabilidad BOLA (Broken Object Level Authorization) permitió a cualquier usuario autenticado leer el código fuente y los historiales de chat de IA de los proyectos públicos de la plataforma. Lovable reconoció que el fallo se notificó a través de su programa de 'bug bounty', pero la corrección no se implementó hasta 48 días después, cuando un investigador de seguridad hizo público el problema . El análisis 'postmortem' de Lovable afirmó que "los proyectos privados y Lovable Cloud nunca se vieron afectados" . La empresa atribuyó el problema a una regresión en el backend en febrero que re-activó el acceso público al unificar los permisos .

Incidentes adicionales

En total, tres incidentes de seguridad documentados expusieron código fuente, credenciales de bases de datos y miles de registros de usuarios . Una evaluación de seguridad de febrero de 2026 encontró 16 vulnerabilidades, 6 de ellas críticas, incluida una lógica de autenticación que estaba "literalmente al revés: bloqueaba a los usuarios conectados y dejaba pasar a los anónimos" .

Riesgo sistémico de la categoría

Múltiples investigadores de seguridad señalan que los generadores de código por IA como Lovable, Bolt, Replit Agent, v0 y Cursor producen rutinariamente código que "tiene buena apariencia pero carece de políticas RLS, filtra credenciales en los paquetes del navegador y omite la verificación de firmas de webhook" porque la IA optimiza el código para que funcione, no para que sea seguro . Nuevas clases de ataques como "TrustFall" y "CLI-Anything" se dirigen específicamente a los agentes de codificación de IA .

Una evaluación del primer trimestre de 2026 realizada por la firma de seguridad GuardMint encontró que el 91,5% de las aplicaciones creadas con 'vibe coding' tenían al menos una vulnerabilidad atribuible a la IA . El proyecto Vibe Security Radar del Georgia Tech rastreó 35 CVE atribuibles a herramientas de codificación por IA solo en marzo de 2026, y los investigadores estiman que la cifra real es de cinco a diez veces mayor .

Impacto en el acuerdo

Según la información más reciente, los incidentes de seguridad no han descarrilado las conversaciones sobre la ronda de 300 millones de dólares; se espera que Menlo Ventures siga liderándola . Sin embargo, estos problemas siguen siendo la principal preocupación en la 'due diligence'. Si se produjera una nueva brecha importante antes del cierre, las condiciones podrían cambiar o la ronda podría retrasarse. Para toda la categoría del 'vibe coding', estos incidentes han provocado un mayor escrutinio por parte de los compradores empresariales y los reguladores, y varios competidores se apresuran a diferenciarse en materia de seguridad mediante el cumplimiento de SOC 2, RBAC y registros de auditoría .