Lovable、時価総額13.2億ドルで3億ドルの資金調達を協議中：急成長、投資家、そして「バイブコーディング」業界を揺るがすセキュリティ問題

参考までに、2025年12月のシリーズBでは、AlphabetのベンチャーキャピタルであるCapitalGとMenlo VenturesのAnthologyファンドがリードし、NVentures（Nvidia）、Salesforce Ventures、Databricks Venturesなどが参加。調達額は3.3億ドル、評価額は66億ドルでした 。

創業と会社の背景

Lovableは、2023年にスウェーデンのストックホルムで、Anton Osika（CEO）とFabian Hedin（CTO）によって設立されました 。同社のプロダクトは当初、GPT Engineerという名のオープンソースプロジェクトでした。Osikaが2023年半ばにリリースしたこのプロジェクトはGitHubで約5万ものスターを集めた後、商用化され、2024年12月に現在のLovableへとブランド名を変更しました 。このブランド変更は、開発者向けツールからより広範な非技術者ユーザーへのシフトを意味していました 。

CEOのAnton Osikaは、以前CERNで素粒子物理学の研究に従事し、その後スウェーデンのAIユニコーン企業Sana Labsの最初の従業員兼エンジニアとして活躍しました 。Forbesの試算によると、2025年12月のラウンド後、Osika（当時35歳）とHedin（当時31歳）の両創業者は、それぞれ約24%の株式を保有し、億万長者となりました 。

プロダクトの機能

Lovableは、「バイブコーディング」と呼ばれるAI駆動型プラットフォームで、ユーザーが自然言語でアイデアを説明すると、AIがフロントエンド、バックエンド、データベースを含むフルスタックのWebアプリケーションを数秒で生成します 。非技術系の起業家や個人事業主、チームがコードを書かずにプロトタイプを作成し、アプリをリリースすることを主なターゲットとしています 。

収益のマイルストーン：史上最速のSaaS成長

複数のメディアが、Lovableの成長はソフトウェア史上、前例のないものだと評しています 。

• 年次経常収益（ARR）1,000万ドルを、わずか従業員15名、創業60日で達成 。
• ARR 1億ドルをわずか8ヶ月で達成。これはOpenAI、Cursor、Wizなどを凌ぐ速さです 。
• 2026年2月時点でARR 4億ドル、従業員数は約146人 。
• **2026年半ばにはARR 5億ドル（年換算）**に到達し、シリーズBクローズ時に確認されました 。

同社は、前回ラウンドから2025年12月のシリーズBまでの間に、収益を3倍に伸ばしました 。

従業員数とチーム

2026年2月の時点で、Lovableは約146人の従業員で年間4億ドルのARRを支えています 。同社はLinkedIn上で、「シリアルアントレプレナー、プロダクトエンジニア、物理学者、競技プログラマーからなるヨーロッパの小規模チーム」と自称しています 。

投資家の顔ぶれ

Lovableは、これまでの資金調達ラウンドを通じて、錚々たる投資家リストを獲得しています。

出典：

バイブコーディング市場における競争上の位置づけ

Lovableは急成長する「バイブコーディング」市場で事業を展開しています。2026年の市場規模は約47億ドルと見積もられ、ユーザーの63%が非開発者です 。

主な競合としては、Cursor、Bolt.new、Replit Agent、v0 (Vercel)、Windsurf、Claude Codeなどが挙げられます 。

フリーランスプラットフォームUpworkの2025年1月から2026年4月までの求人データによると、Lovableは6,243件の求人で言及され、Cursorの5,373件を抑えて明確な1位、2位となっています。BoltやReplitを大きく引き離しています 。Lovableの言及数は同期間で627%増加しました 。

業界のコンセンサスとして、Lovableは単一のプロンプトからフルスタックアプリを作りたい非技術者にとって最良のツールと見なされています。一方、Cursorはプロのエンジニアが監督するコーディングで優位に立ち、Bolt.newはデモ用途には強いものの、実際の複雑性には脆弱と評価されています 。

しかし、Lovableは一貫して「エンタープライズ対応ではない」と評価されています。SOC 2、ISO、HIPAAなどの認証を取得しておらず、この点でClaristaなどのプラットフォームに劣り、ハイエンド市場への拡大を制限しています 。

セキュリティ上の懸念：最大かつ未解決のリスク

これは、今回の3億ドル調達ラウンド、そしてバイブコーディングというカテゴリー全体にとって、最大かつ未解決のリスクです。2026年には、3件のセキュリティインシデントが確認され、いずれも公に認められています。

48日間にわたる情報漏洩（2026年2月3日～4月20日）

BOLA（Broken Object Level Authorization）の脆弱性により、認証されたユーザーであれば誰でも、プラットフォーム上の公開プロジェクトのソースコードやAIチャット履歴にアクセス可能な状態が続きました。Lovableは、このバグがバグ報奨金プログラムを通じて報告されていたことを認めましたが、修正がデプロイされたのは、セキュリティ研究者が問題を公開した後、48日後のことでした 。Lovableの事後報告（ポストモーテム）では、「プライベートプロジェクトとLovable Cloudは影響を受けなかった」と述べられています 。同社はこの問題について、2月のバックエンド回帰（リグレッション）が、権限を統合する過程で誤ってパブリックアクセスを再有効化したことが原因だと説明しています 。

重なるインシデント

合計3件のセキュリティインシデントが確認され、ソースコード、データベース認証情報、数千件のユーザーレコードが流出しました 。2026年2月のセキュリティ評価では16の脆弱性が発見され、そのうち6つはクリティカルと評価されました。中には、認証ロジックが「文字通り逆転しており、ログインユーザーをブロックし、匿名ユーザーを通してしまう」というものもありました 。

業界全体のシステムリスク

複数のセキュリティ研究者は、Lovable、Bolt、Replit Agent、v0、CursorといったAIコード生成ツールが、「一見問題ないように見えるが、RLSポリシーを欠き、ブラウザバンドルに認証情報を漏洩させ、Webhookの署名検証をスキップする」コードを日常的に生成していると指摘しています。これは、AIが「安全な」コードではなく「動作する」コードを最適化するためです 。また、「TrustFall」や「CLI-Anything」といった新たな攻撃手法は、特にAIコーディングエージェントを標的にしています 。

セキュリティ企業GuardMintによる2026年第1四半期の評価では、バイブコードされたアプリの91.5%に少なくとも1つのAI由来の脆弱性が存在することが判明しました 。ジョージア工科大学の「Vibe Security Radar」プロジェクトは、2026年3月だけでAIコーディングツールに起因する35件のCVE（Common Vulnerabilities and Exposures）を追跡しており、研究者は実際の数はその5～10倍であると推定しています 。

調達案件への影響

最新の報道によると、これらのセキュリティインシデントは、報じられている3億ドルの調達協議を頓挫させてはおらず、Menlo Venturesが引き続きリードする見込みです 。しかし、これらの問題は依然としてデューデリジェンス上の最大の懸念事項です。クローズ前に重大なインシデントがさらに発生した場合、条件が変更されたり、ラウンドが遅延する可能性もあります。バイブコーディング業界全体にとって、これらのインシデントはエンタープライズ顧客や規制当局からの監視を強め、複数の競合他社がSOC 2準拠、RBAC（役割ベースのアクセス制御）、監査ログなどのセキュリティ態勢の差別化を急ぐ結果となっています 。