Lovable punta a un round da 300 milioni: valutazione a 13,2 miliardi

Per contesto, il round di Serie B del dicembre 2025 aveva raccolto 330 milioni di dollari a una valutazione di 6,6 miliardi, guidato da CapitalG (il braccio venture di Alphabet) e dal fondo Anthology di Menlo Ventures, con la partecipazione di NVentures (Nvidia), Salesforce Ventures, Databricks Ventures e altri ^NRBLT.

La storia della fondazione

Lovable è stata fondata nel 2023 a Stoccolma, in Svezia, da Anton Osika (CEO) e Fabian Hedin (CTO) ^BIE. Il prodotto iniziale si chiamava GPT Engineer, un progetto open source lanciato da Osika a metà del 2023 che ha raccolto circa 50.000 stelle su GitHub prima di essere commercializzato e rinominato Lovable nel dicembre 2024 ^BLLE. Il rebranding ha segnato il passaggio da un tool per sviluppatori a un pubblico più vasto e non tecnico ^BLL.

L'amministratore delegato Anton Osika in precedenza aveva lavorato alla fisica delle particelle al CERN ed è stato il primo dipendente e ingegnere dell'unicorno svedese dell'AI Sana Labs ^RCS. Entrambi i co-fondatori sono diventati miliardari dopo il round del dicembre 2025, all'età rispettivamente di 35 e 31 anni, con Forbes che stima che ciascuno detenga circa il 24% dell'azienda ^F.

Cosa sa fare il prodotto

Lovable è una piattaforma di 'vibe coding' basata sull'intelligenza artificiale che genera applicazioni web complete a partire da semplici descrizioni in linguaggio naturale. Un utente descrive un'idea in inglese e l'AI costruisce un'app funzionante — con front-end, back-end e database — in pochi secondi ^NBBL. Si rivolge a founder non tecnici, imprenditori solitari e team che vogliono creare prototipi e lanciare app full-stack senza scrivere codice ^BL.

I traguardi di fatturato: la crescita SaaS più rapida della storia

Molteplici fonti descrivono la crescita di Lovable come senza precedenti nella storia del software ^SLL:

• 10 milioni di dollari di ARR in 60 giorni con soli 15 dipendenti ^SLL.
• 100 milioni di dollari di ARR in 8 mesi, più veloce di OpenAI, Cursor e Wiz ^SLL.
• 400 milioni di dollari di ARR entro febbraio 2026 con circa 146 dipendenti ^SLL.
• 500 milioni di dollari di ARR (annualizzato) entro metà 2026, confermato al momento della chiusura della Serie B ^SPT.

L'azienda ha triplicato il suo fatturato tra il round precedente e la Serie B del dicembre 2025 ^B.

Dimensioni del team

A febbraio 2026, Lovable impiegava circa 146 persone per sostenere un tasso di ARR di 400 milioni di dollari ^SLL. Su LinkedIn, l'azienda si descrive come "un piccolo team europeo di serial founder, ingegneri del prodotto, fisici, programmatori competitivi" ^L.

La lista degli investitori

Lovable ha messo insieme una lista di investitori di prim'ordine nei suoi vari round:

Fonti: ^NRBSLT

Posizionamento competitivo nel mondo del 'vibe coding'

Lovable opera nel mercato in rapida crescita del vibe coding, che nel 2026 ha raggiunto un valore stimato di 4,7 miliardi di dollari, con il 63% degli utenti che non sono sviluppatori ^TV.

Il panorama competitivo include Cursor, Bolt.new, Replit Agent, v0 (Vercel), Windsurf e Claude Code ^NRBBSCS.

Secondo i dati della domanda su Upwork tra gennaio 2025 e aprile 2026, Lovable è stata menzionata in 6.243 offerte di lavoro contro le 5.373 di Cursor, risultando di fatto il primo e il secondo strumento più richiesti, ben distanziati da Bolt e Replit ^U. Le menzioni di Lovable sono cresciute del 627% nel periodo ^U.

Il consenso del settore posiziona Lovable come il miglior strumento per utenti non tecnici che vogliono app full-stack da un unico prompt, mentre Cursor domina la codifica supervisionata da ingegneri professionisti e Bolt.new è considerato valido per demo ma fragile sotto complessità reale ^BBSJ.

Tuttavia, Lovable è costantemente giudicato come "non pronto per le imprese" — manca delle certificazioni SOC 2, ISO e HIPAA — a differenza di piattaforme come Clarista, il che ne limita l'espansione nel mercato enterprise ^RIC.

Problemi di sicurezza: il rischio irrisolto più grande

Questo è il rischio irrisolto più significativo per il round da 300 milioni di dollari in sospeso — e per l'intera categoria del vibe coding. Tre incidenti di sicurezza documentati hanno colpito Lovable nel 2026, tutti riconosciuti pubblicamente.

L'esposizione di 48 giorni (3 febbraio – 20 aprile 2026)

Una vulnerabilità BOLA (Broken Object Level Authorization) ha permesso a qualsiasi utente autenticato di leggere il codice sorgente e le cronologie delle chat AI dei progetti pubblici sulla piattaforma. Lovable ha riconosciuto che il bug era stato segnalato attraverso il suo programma di bug bounty, ma la correzione non è stata implementata fino a 48 giorni dopo, quando un ricercatore di sicurezza ha divulgato pubblicamente il problema ^RBSCT. Il post-mortem di Lovable ha dichiarato che "i progetti privati e Lovable Cloud non sono mai stati coinvolti" ^L. L'azienda ha attribuito il problema a una regressione del backend a febbraio che ha riattivato l'accesso pubblico durante l'unificazione delle autorizzazioni ^LB.

Incidenti cumulativi

In totale, tre incidenti di sicurezza documentati hanno esposto codice sorgente, credenziali di database e migliaia di record utente ^RBT. Una valutazione di sicurezza del febbraio 2026 ha trovato 16 vulnerabilità, 6 delle quali critiche, inclusa una logica di autenticazione che era "letteralmente al contrario — bloccava gli utenti loggati e lasciava passare quelli anonimi" ^V.

Rischio sistemico di categoria

Molti ricercatori di sicurezza notano che i generatori di codice AI come Lovable, Bolt, Replit Agent, v0 e Cursor producono regolarmente codice che "sembra a posto ma manca di policy RLS, perde credenziali nei bundle del browser e salta la verifica delle firme dei webhook" — perché l'AI ottimizza per codice che funziona, non per codice che è sicuro ^NSPS. Nuove classi di attacco come "TrustFall" e "CLI-Anything" prendono di mira specificamente gli agenti di codifica AI ^V.

Una valutazione del primo trimestre 2026 della società di sicurezza GuardMint ha rilevato che il 91,5% delle app create con il vibe coding presentava almeno una vulnerabilità riconducibile all'AI ^V. Il progetto Vibe Security Radar del Georgia Tech ha tracciato 35 CVE attribuibili a strumenti di codifica AI nel solo marzo 2026, con i ricercatori che stimano che il numero reale sia da cinque a dieci volte superiore ^L.

Impatto sull'affare

Al momento degli ultimi resoconti, gli incidenti di sicurezza non hanno fatto deragliare le trattative segnalate per i 300 milioni di dollari — Menlo Ventures è ancora attesa come guida del round ^CTS. Tuttavia, questi problemi rimangono la principale preoccupazione della due diligence. Se si verificasse un'ulteriore grave violazione prima della chiusura, i termini potrebbero cambiare o il round potrebbe essere ritardato. Per la più ampia categoria del vibe coding, questi incidenti hanno innescato un maggiore controllo da parte degli acquirenti aziendali e delle autorità di regolamentazione, e diversi concorrenti stanno correndo per differenziarsi sul fronte della sicurezza attraverso la conformità SOC 2, il RBAC e i registri di controllo ^RIC.