Lovableを評価する

Lovableは、バイブコーディングをビジネスに変えたアプリビルダーです。チャットでアプリを説明すると、Lovableがコードを書き、データベースとサインインを設定し、結果をオンラインで公開します。ストックホルムの同社は2024年11月にサービスを開始しました。8月には評価額133億ドルで4億ドルを調達し、9月には共同創業者のFabian Hedin氏が、年換算の売上高が6億ドルを超えたと述べました。

私たちはWebアプリとモバイルアプリの開発を生業としているため、Lovableを2つの側面から見ています。使っていて楽しいツールとして、そして後に実際の顧客とそのデータを支えなければならなくなるアプリの出発点としてです。ここでは、優れている点、及ばない点、そして使い続けるためのコストを見ていきます。

優れている点

最初のバージョンを作るうえで、Lovableは本当に見事です。私たちが使った限りでは、1つの文章が、エディターを開くこともなく、午後のうちに画面、サインイン、データベース、公開リンクを備えた動くアプリになります。誰かが仕様書を書く前に、アイデアを実際の人々で試すことができ、それは初期のアイデアの検証方法を変えます。

多くの人が求めているのは、まさにそれです。Lovableによれば、ユーザーはサービス開始以来6000万を超えるプロジェクトを作成し、Lovableで作られたアプリには月に9億回を超える訪問があり、Fortune 500企業の3分の2近くで社員が利用しています。ユーザーを対象とした調査では、10人に8人近くが、収益化を目指すビジネスや副業のプロジェクトを作っていると答えました。

Lovableは安全性にも投資してきました。6月以降、アプリを公開するたびに基本スキャンが設定、データベーススキーマ、そのアクセスルールを確認し、管理者は重大な問題が残っているあいだ公開をブロックできます。Lovableはその限界についても率直です。基本スキャンは、アプリケーションのコードにロジック上の欠陥がないかまでは分析しません。

どれも同じに見える

私たちの主な懸念はセンスです。これは測定ではなく、使ってみての私たちの見方です。Lovableで作られたアプリは似通いがちです。同じレイアウト、同じカード、同じ柔らかなグラデーション。いくつかのローンチを見れば見分けがつくようになるスタイルです。プロトタイプならそれは問題になりません。ブランドにとっては問題です。顧客が最初に気づくのは、プロダクトの使い心地を誰も決めていないということだからです。

良いプロンプト、リファレンス、デザインシステムで方向づけることはできます。しかし、デフォルトは平均へと引き寄せ、ほとんどの人はデフォルトのままにします。

セキュリティの責任は誰にあるのか

より深刻な問題はセキュリティです。2025年3月、当時競合のReplitに在籍していたMatt Palmer氏は、Lovableで作られたあるサイトがユーザーのデータを露出していることを発見しました。どの行を誰が読めるかを決めるデータベースのルールが、欠けているか誤っていたためです。同氏と共同研究者たちがLovable自身のショーケースから1'645のプロジェクトをスキャンしたところ、そのうち170のプロジェクトで303の脆弱なエンドポイントが見つかり、氏名、メールアドレス、支払い情報、開発者のAPIキーが露出していました。この欠陥はCVE-2025-48757として登録され、深刻度スコアは10点中9.3でした。Lovableは、各顧客が自らのアプリのデータを保護する責任を負うという理由で、これに異議を唱えています。

2026年4月には、ある研究者が、どのLovableアカウントでも他のユーザーの公開プロジェクトのソースコードとAIチャットの履歴を読めることを示しました。LovableはまずX上で「はっきりさせておくと、データ侵害は起きていません」と書きました。2日後、同社はより詳しい説明を公表しました。2月の変更によって、2025年に塞いだアクセスが再び開いていたこと、バグ報奨金プログラムへの報告がエスカレーションされずに閉じられていたこと、そしてプロダクトと最初の対応の両方が不十分だったことです。The Registerはこの一件を「脆弱性の報告にどう対応すべきでないかの教訓」と呼びました。

このパターンはLovableにとどまりません。9月、セキュリティ企業のUpGuardは、Lovableのアプリを支えるデータベースサービスSupabase上で、誰でも読めるテーブルを持つ約16'000のデータベースを発見しました。その多くには個人データが含まれており、TechCrunchはこの波を、AIで素早く作られたアプリと結びつけました。Supabaseは、自社のプロジェクトはデフォルトで安全であり、設定は顧客自身が管理していると説明しています。どちらも正しいことがありえます。そのあいだに立っているのは、多くの場合、データベースのルールとは何かを学ぶ必要に一度も迫られたことのない創業者です。

ロックインとコスト

コードそのものは持ち出せます。Lovableのドキュメントによれば、作成したアプリ、コード、コンテンツは作成者のものであり、どのプランでもGitHubリポジトリと同期でき、フロントエンドはどこにでもホストできます。バックエンドは別の話です。アプリがLovable Cloud上で動いている場合、サポートされている移行先は、マネージド型またはセルフホスト型のSupabaseです。データベースだけを移しても、サインイン、ファイルストレージ、リアルタイム機能、エッジ関数は移りません。素のPostgreSQLや別のプロバイダーへの移行については、Lovableはサポートしていないとしています。エディターとそのエージェントは、そもそもセルフホストできません。

コストはクレジットで決まります。Proは100クレジットで月額25ドルから、Businessは50ドルからで、どちらも10'000クレジットまで拡張できます。Proで1'200クレジットなら月額294ドルです。アプリがLovable上にある限り、そのホスティング、AI機能、コネクタは、開発と同じクレジットを消費します。

最初のバージョンは安く済みます。私たちの経験では、予測が難しいのは、アプリが大きくなってからの変更1つひとつのコストです。プロンプトのたびに、自分たちの側の誰も書いておらず読んでもいないコードが編集されます。画面、役割、決済フローが何十もあると、ある箇所の修正が別の箇所を壊すことがあり、その修理にもクレジットがかかります。

私たちの評価

Lovableは、アイデアを人々の前に出す最も速い方法の1つであり、使っていて楽しいツールです。プロトタイプ、ピッチ、機密データを扱わない社内ツールに使いましょう。実際の顧客とそのデータを迎える前に、初日からGitHubを接続し、セキュリティに詳しい人にすべてのデータベースルールを確認してもらい、アプリをLovable Cloudに置き続けるかどうかを決めておくことです。

その次のステップのためにあるのがWerkです。私たちは自社プロダクトのために構築したプラットフォームの上で、クライアントとともにWebアプリとモバイルアプリを作ります。アカウント、役割、決済は一度作ってテスト済みで、人がすべてのリリースをレビューし、ソースコードはクライアントのものです。Lovableのプロトタイプは、良いブリーフになります。