Lovable gọi vốn 300 triệu USD, định giá 13,2 tỷ USD: Tăng trưởng thần tốc và rủi ro bảo mật có thể thay đổi tất cả

Để dễ hình dung, vòng Series B hồi tháng 12 năm 2025 của công ty đã huy động được 330 triệu USD với mức định giá 6,6 tỷ USD, do CapitalG (quỹ đầu tư mạo hiểm của Alphabet) và quỹ Anthology của Menlo Ventures dẫn dắt, với sự tham gia của NVentures (Nvidia), Salesforce Ventures, Databricks Ventures và nhiều quỹ khác .

Lịch sử thành lập và thông tin công ty

Lovable được thành lập vào năm 2023 tại Stockholm, Thụy Điển, bởi Anton Osika (CEO) và Fabian Hedin (CTO) . Sản phẩm ban đầu ra mắt với tên gọi GPT Engineer, một dự án mã nguồn mở do Osika phát hành vào giữa năm 2023, thu hút khoảng 50.000 sao trên GitHub trước khi được thương mại hóa và đổi tên thành Lovable vào tháng 12 năm 2024 . Việc đổi tên đánh dấu sự chuyển hướng từ công cụ dành cho nhà phát triển sang đối tượng người dùng phi kỹ thuật rộng lớn hơn .

CEO Anton Osika trước đây từng nghiên cứu vật lý hạt tại CERN và là nhân viên đầu tiên cũng như kỹ sư tại Sana Labs, một kỳ lân AI của Thụy Điển . Cả hai nhà đồng sáng lập đã trở thành tỷ phú sau vòng gọi vốn tháng 12 năm 2025, lần lượt ở tuổi 35 và 31, với Forbes ước tính mỗi người nắm giữ khoảng 24% công ty .

Khả năng sản phẩm

Lovable là một nền tảng 'vibe coding' hỗ trợ bởi AI, có khả năng tạo ra các ứng dụng web full-stack từ các câu lệnh ngôn ngữ tự nhiên. Người dùng mô tả ý tưởng bằng văn bản thuần túy, và AI sẽ xây dựng một ứng dụng hoàn chỉnh — bao gồm giao diện người dùng (frontend), hệ thống xử lý (backend) và cơ sở dữ liệu — chỉ trong vài giây . Nó nhắm đến những người sáng lập không có nền tảng kỹ thuật, các doanh nhân solo và các nhóm muốn tạo mẫu thử nghiệm và ra mắt ứng dụng full-stack mà không cần viết code .

Các cột mốc doanh thu: Tăng trưởng SaaS nhanh nhất lịch sử

Nhiều nguồn tin mô tả sự tăng trưởng của Lovable là chưa từng có trong lịch sử phần mềm :

• 10 triệu USD ARR trong 60 ngày với chỉ 15 nhân viên .
• 100 triệu USD ARR trong 8 tháng, nhanh hơn cả OpenAI, Cursor và Wiz .
• 400 triệu USD ARR vào tháng 2 năm 2026 với khoảng 146 nhân viên .
• 500 triệu USD ARR (tính năm) vào giữa năm 2026, được xác nhận tại thời điểm chốt vòng Series B .

Công ty đã tăng gấp ba doanh thu giữa vòng gọi vốn trước đó và vòng Series B tháng 12 năm 2025 .

Số lượng nhân viên và đội ngũ

Tính đến tháng 2 năm 2026, Lovable tuyển dụng khoảng 146 người để hỗ trợ mức doanh thu thường niên 400 triệu USD . Trên LinkedIn, công ty mô tả mình là "một đội ngũ nhỏ người châu Âu gồm những người sáng lập dày dạn kinh nghiệm, kỹ sư sản phẩm, nhà vật lý và lập trình viên cạnh tranh" .

Danh sách nhà đầu tư

Lovable đã tập hợp một danh sách nhà đầu tư hàng đầu qua các vòng gọi vốn:

Nguồn:

Vị thế cạnh tranh trong lĩnh vực Vibe-Coding

Lovable hoạt động trong thị trường vibe-coding đang phát triển nhanh chóng, ước tính đạt 4,7 tỷ USD vào năm 2026, với 63% người dùng không phải là nhà phát triển .

Bối cảnh cạnh tranh bao gồm Cursor, Bolt.new, Replit Agent, v0 (Vercel), Windsurf và Claude Code .

Theo dữ liệu nhu cầu trên Upwork từ tháng 1 năm 2025 đến tháng 4 năm 2026, Lovable được nhắc đến trong 6.243 bài đăng tuyển dụng, so với 5.373 của Cursor — trở thành cái tên số 1 và số 2 rõ ràng, bỏ xa Bolt và Replit . Lượt nhắc đến Lovable tăng 627% trong giai đoạn này .

Giới trong ngành nhận định Lovable là công cụ tốt nhất cho người dùng phi kỹ thuật muốn xây dựng ứng dụng full-stack từ một câu lệnh duy nhất, trong khi Cursor thống trị mảng code có sự giám sát của kỹ sư chuyên nghiệp, còn Bolt.new được đánh giá mạnh về demo nhưng yếu khi gặp độ phức tạp thực tế .

Tuy nhiên, Lovable liên tục bị đánh giá là "chưa sẵn sàng cho doanh nghiệp" — thiếu các chứng chỉ SOC 2, ISO và HIPAA — so với các nền tảng như Clarista, điều này hạn chế khả năng mở rộng thị trường lên cao cấp .

Mối quan ngại về bảo mật: Rủi ro lớn nhất chưa được giải quyết

Đây là rủi ro chưa được giải quyết quan trọng nhất đối với vòng gọi vốn 300 triệu USD đang chờ xử lý — và đối với toàn bộ thể loại vibe-coding. Ba sự cố bảo mật đã được ghi nhận và công khai thừa nhận đã xảy ra với Lovable trong năm 2026.

Vụ lộ lọt kéo dài 48 ngày (3 tháng 2 – 20 tháng 4 năm 2026)

Một lỗ hổng BOLA (Broken Object Level Authorization) cho phép bất kỳ người dùng đã xác thực nào đọc mã nguồn và lịch sử trò chuyện AI của các dự án công khai trên nền tảng. Lovable thừa nhận lỗi này đã được báo cáo thông qua chương trình săn lỗi (bug bounty) của mình, nhưng bản vá đã không được triển khai cho đến 48 ngày sau đó, sau khi một nhà nghiên cứu bảo mật công khai vấn đề . Báo cáo sau sự cố của Lovable tuyên bố rằng "các dự án riêng tư và Lovable Cloud chưa bao giờ bị ảnh hưởng" . Công ty cho rằng vấn đề là do một sự cố hồi quy (regression) backend vào tháng 2 đã vô tình kích hoạt lại quyền truy cập công khai trong khi hợp nhất các quyền .

Các sự cố dồn dập

Tổng cộng ba sự kiện bảo mật đã được ghi nhận, làm lộ mã nguồn, thông tin đăng nhập cơ sở dữ liệu và hàng nghìn bản ghi người dùng . Một đánh giá bảo mật vào tháng 2 năm 2026 đã phát hiện 16 lỗ hổng, trong đó có 6 lỗ hổng nghiêm trọng, bao gồm cả logic xác thực "ngược hoàn toàn — nó chặn người dùng đã đăng nhập và cho phép người dùng ẩn danh đi qua" .

Rủi ro mang tính hệ thống của thể loại này

Nhiều nhà nghiên cứu bảo mật lưu ý rằng các trình tạo mã AI như Lovable, Bolt, Replit Agent, v0 và Cursor thường xuyên tạo ra mã "trông có vẻ ổn nhưng thiếu các chính sách RLS, để lộ thông tin đăng nhập trong các gói trình duyệt và bỏ qua xác minh chữ ký webhook" — bởi vì AI được tối ưu hóa để tạo ra mã chạy được, chứ không phải mã an toàn . Các lớp tấn công mới như "TrustFall" và "CLI-Anything" nhắm mục tiêu cụ thể vào các tác nhân mã hóa AI .

Trong một đánh giá quý 1 năm 2026 của công ty bảo mật GuardMint, 91,5% ứng dụng được tạo bằng vibe coding có ít nhất một lỗ hổng có thể truy xuất từ AI . Dự án Vibe Security Radar của Georgia Tech đã theo dõi 35 CVE có thể quy cho các công cụ mã hóa AI chỉ trong tháng 3 năm 2026, với các nhà nghiên cứu ước tính con số thực tế cao gấp 5 đến 10 lần .

Tác động đến thương vụ

Theo các báo cáo gần đây nhất, các sự cố bảo mật vẫn chưa làm chệch hướng các cuộc đàm phán 300 triệu USD — Menlo Ventures vẫn dự kiến sẽ dẫn dắt vòng này . Tuy nhiên, những vấn đề này vẫn là mối quan tâm thẩm định chính. Nếu một vụ vi phạm lớn hơn nữa xảy ra trước khi chốt vòng, các điều khoản có thể thay đổi hoặc vòng gọi vốn có thể bị trì hoãn. Đối với toàn bộ thể loại vibe-coding, các sự cố này đã gây ra sự giám sát chặt chẽ hơn từ người mua doanh nghiệp và các cơ quan quản lý, và một số đối thủ cạnh tranh đang chạy đua để tạo sự khác biệt về tình trạng bảo mật thông qua chứng chỉ SOC 2, RBAC và nhật ký kiểm toán .