Lovable במבחן
בונה האפליקציות שמאחורי בום ה־vibe coding מהיר וכיפי. מה הוא עושה טוב, למה האפליקציות שלו נראות לעיתים קרובות אותו דבר, ואיפה האבטחה והתלות בספק נושכות.
Lovable הוא בונה האפליקציות שהפך את ה־vibe coding לעסק. מתארים אפליקציה בצ׳אט, ו־Lovable כותב את הקוד, מקים מסד נתונים והתחברות, ומעלה את התוצאה לאוויר. החברה השטוקהולמית יצאה לדרך בנובמבר 2024. באוגוסט היא גייסה 400 מיליון דולר לפי שווי של 13.3 מיליארד, ובספטמבר אמר המייסד השותף שלה, פביאן הדין, שההכנסות בקצב שנתי עברו 600 מיליון דולר.
אנחנו בונים אפליקציות ווב ומובייל למחייתנו, אז אנחנו מסתכלים על Lovable משני צדדים: ככלי שכיף לנו להשתמש בו, וכנקודת המוצא לאפליקציות שבהמשך צריכות לשאת לקוחות אמיתיים ואת הנתונים שלהם. הנה מה שהוא עושה טוב, איפה הוא נופל, וכמה עולה להישאר.
מה הוא עושה טוב
לגרסה ראשונה, Lovable באמת מרשים. בשימוש שלנו, משפט אחד הופך לאפליקציה עובדת עם מסכים, התחברות, מסד נתונים וקישור ציבורי בתוך אחר צהריים, בלי לפתוח עורך. אפשר לנסות רעיון על אנשים אמיתיים לפני שמישהו כותב אפיון, וזה משנה את האופן שבו רעיונות מוקדמים נבדקים.
הרבה אנשים רוצים בדיוק את זה. ב־Lovable אומרים שהמשתמשים יצרו יותר מ־60 מיליון פרויקטים מאז ההשקה, שאפליקציות שנבנו עליו מקבלות יותר מ־900 מיליון ביקורים בחודש, ושעובדים בכמעט שני שלישים מחברות Fortune 500 משתמשים בו. בסקר בקרב המשתמשים, כמעט שמונה מכל עשרה אמרו שהם בונים עסק או פרויקט צדדי שהם מקווים להרוויח ממנו.
ב־Lovable השקיעו גם באבטחה. מאז יוני, סריקה בסיסית בודקת את התצורה, את סכמת מסד הנתונים ואת כללי הגישה שלו בכל פעם שאפליקציה מתפרסמת, ומנהלי מערכת יכולים לחסום פרסום כל עוד נשארות בעיות קריטיות. ב־Lovable כנים לגבי המגבלה: הסריקה הבסיסית לא מנתחת את קוד האפליקציה כדי לאתר פגמים לוגיים.
הכול נראה אותו דבר
ההסתייגות העיקרית שלנו היא טעם, וזו דעה שלנו מתוך השימוש ולא מדידה. אפליקציות שנבנו עם Lovable נוטות להיראות אותו דבר: אותן פריסות, אותם כרטיסים, אותם מעברי צבע רכים, סגנון שנעשה מוכר אחרי כמה השקות. לאב טיפוס זה לא משנה. למותג זה משנה, כי הדבר הראשון שלקוח שם לב אליו הוא שאף אחד לא החליט איך המוצר אמור להרגיש.
פרומפטים טובים, רפרנסים ומערכת עיצוב יכולים לכוון אותו. אבל ברירת המחדל מושכת לכיוון הממוצע, ורוב האנשים נשארים עם ברירת המחדל.
מי אחראי על האבטחה
השאלה הרצינית יותר היא אבטחה. במרץ 2025 מצא מאט פאלמר, אז במתחרה Replit, שאתר שנבנה עם Lovable חשף את הנתונים של המשתמשים שלו, כי כללי מסד הנתונים שקובעים מי רשאי לקרוא אילו שורות היו חסרים או שגויים. בסריקה של 1,645 פרויקטים מחלון התצוגה של Lovable עצמו, הוא ועמיתיו החוקרים מצאו 303 נקודות קצה פגיעות ב־170 מהם, שחשפו שמות, כתובות אימייל, פרטי תשלום ומפתחות API של מפתחים. הפגם נרשם כ־CVE-2025-48757, עם ציון חומרה של 9.3 מתוך 10. ב־Lovable חולקים על כך, בטענה שכל לקוח אחראי להגן על הנתונים של האפליקציה שלו.
באפריל 2026 הראה חוקר שכל חשבון Lovable יכול לקרוא את קוד המקור ואת היסטוריית הצ׳אט עם ה־AI של פרויקטים ציבוריים של משתמשים אחרים. בהתחלה כתבו ב־Lovable ב־X: "שיהיה ברור: לא חווינו פריצה לנתונים." יומיים אחר כך הם פרסמו דין וחשבון מלא יותר: שינוי בפברואר פתח מחדש גישה שנסגרה ב־2025, דיווחים לתוכנית ה־bug bounty נסגרו בלי הסלמה, וגם המוצר וגם התגובה הראשונה לא עמדו ברף. The Register כינה את הפרשה "שיעור באיך לא להגיב לדיווחים על פגיעויות".
הדפוס חורג מ־Lovable. בספטמבר מצאה חברת האבטחה UpGuard כ־16,000 מסדי נתונים ב־Supabase, שירות מסדי הנתונים שמאחורי האפליקציות של Lovable, עם טבלאות שכל אחד יכול לקרוא, ורבות מהן החזיקו מידע אישי, ו־TechCrunch קישר את הגל לאפליקציות שנבנו במהירות עם בינה מלאכותית. Supabase אומרת שהפרויקטים שלה מאובטחים כברירת מחדל ושהלקוחות שולטים בתצורה שלהם. שני הדברים יכולים להיות נכונים. באמצע עומד לעיתים קרובות מייסד שמעולם לא נדרש ללמוד מה זה כלל של מסד נתונים.
תלות בספק ועלות
הקוד עצמו יכול לצאת. התיעוד של Lovable אומר שהאפליקציות, הקוד והתוכן שאתם יוצרים שייכים לכם, כל מסלול יכול להסתנכרן עם מאגר GitHub, ואת הפרונטאנד אפשר לארח בכל מקום. הבקאנד הוא סיפור אחר. אם אפליקציה רצה על Lovable Cloud, דרכי היציאה הנתמכות הן Supabase מנוהל או Supabase באירוח עצמי. העברת מסד הנתונים לבדו לא מעבירה את ההתחברות, את אחסון הקבצים, את ה־realtime או את פונקציות הקצה, ולגבי מעבר ל־PostgreSQL רגיל או לספק אחר, ב־Lovable אומרים שהם לא תומכים בו. את העורך ואת הסוכן שלו אי אפשר לארח באופן עצמי בכלל.
העלות רצה על קרדיטים. Pro מתחיל ב־25 דולר לחודש ל־100 קרדיטים ו־Business ב־50 דולר, ושניהם גדלים עד 10,000 קרדיטים; 1,200 קרדיטים ב־Pro עולים 294 דולר לחודש. כל עוד אפליקציה נשארת ב־Lovable, האירוח שלה, יכולות ה־AI שלה והמחברים שלה צורכים מאותם קרדיטים כמו הבנייה.
גרסה ראשונה זולה. מה שקשה לחזות, מהניסיון שלנו, הוא העלות של כל שינוי ברגע שאפליקציה גדלה. כל פרומפט עורך קוד שאף אחד אצלכם לא כתב ולא קרא, ועם עשרות מסכים, תפקידים ותהליכי תשלום, תיקון במקום אחד יכול לשבור משהו במקום אחר, וגם על התיקון משלמים בקרדיטים.
השורה התחתונה
Lovable הוא אחת הדרכים המהירות ביותר להציג רעיון מול אנשים, וכיף להשתמש בו. השתמשו בו לאבות טיפוס, לפיצ׳ים ולכלים פנימיים שלא מחזיקים מידע רגיש. לפני שלקוחות אמיתיים והנתונים שלהם מגיעים, חברו את GitHub מהיום הראשון, תנו למישהו שמבין באבטחה לבדוק כל כלל במסד הנתונים, והחליטו אם האפליקציה צריכה להישאר ב־Lovable Cloud.
בשביל הצעד הבא הזה קיים Werk. אנחנו בונים אפליקציות ווב ומובייל עם הלקוחות שלנו על הפלטפורמה שבנינו למוצרים שלנו, שבה חשבונות, תפקידים ותשלומים נבנים פעם אחת ונבדקים, אנשים בודקים כל גרסה, וקוד המקור שייך לכם. אב טיפוס של Lovable הוא בריף טוב.
