Lovable גייסה 400 מיליון דולר, והחלק שהכסף לא קונה

Lovable סגרה ב-12 באוגוסט סבב C של 400 מיליון דולר, לפי שווי של 13.3 מיליארד. החברה יושבת בשטוקהולם, אנטון אוסיקה (Anton Osika) ופביאן הדין (Fabian Hedin) השיקו אותה בנובמבר 2024, והיא מוכרת וייב קודינג. שמונה חודשים לפני הסבב הזה היא תומחרה ב-6.6 מיליארד דולר, ובאותם שמונה חודשים קצב ההכנסות השנתי שלה טיפס מ-200 מיליון דולר לכיוון 600.

וייב קודינג, למי שלא נתקל במונח, הוא בנייה של תוכנה בתיאור במילים במקום בכתיבת קוד. אתם מתארים מה האפליקציה צריכה לעשות, והמערכת מייצרת את הקוד, את מסד הנתונים ואת הממשק, ומעלה את הכול לאוויר. שלוש הפלטפורמות המוכרות בתחום הן Lovable, Replit ו-Base44 הישראלית.

תחשבו על מנהל תפעול שרוצה מסך אחד עם ההזמנות התקועות במחסן. עד לפני שנתיים הוא היה פותח כרטיס לצוות הפיתוח, ממתין בתור שלושה חודשים, ומקבל בסוף משהו שדומה בערך למה שביקש. היום הוא כותב פסקה, ותוך כמה דקות עומד לו באוויר מסך עובד, עם מסד נתונים מאחוריו וכתובת שאפשר לשלוח למישהו. את הביקוש הזה, של אנשים שמזמינים תוכנה בלי לדעת לכתוב אותה, תמחרו השבוע ב-13.3 מיליארד דולר.

מי שם את הכסף על השולחן

את הסבב הובילו במשותף Menlo Ventures וקרן Scaleup Europe שמנוהלת בידי EQT. Menlo הובילה גם את סבב B בדצמבר האחרון, ולכן היא נכנסה כאן פעם שנייה. סביבן נכנסה רשימה רחבה בצורה חריגה, ופרוסה על פני יבשות:

• מאירופה: Balderton ו-Carmignac
• מאמריקה הלטינית: Kaszek ו-LTS Growth
• מאסיה: Tencent ו-World Innovation Lab
• מארצות הברית: Regent

גם הוותיקים נשארו בפנים, בהם Accel, CapitalG, DST Global, HubSpot Ventures ו-Salesforce Ventures. סך הגיוסים הידועים של החברה חצה בכך את 730 מיליון דולר.

הכסף, לפי ההודעה של החברה, הולך לשני דברים. הראשון הוא גידול לכ-450 עובדים השנה, עם דגש על גיוס בלמידת מכונה, בתשתיות ובאבטחה. השני הוא פתיחת משרדים בלונדון, בוסטון, סן פרנסיסקו וניו יורק, כשהמטה נשאר בשטוקהולם. במקביל, ביוני נחתמה עסקה רב שנתית עם Google Cloud שהגדילה את היקף השימוש בתשתית פי חמישה. המספר הזה מסביר לבדו משהו על העלות התפעולית של מוצר שבו כל בקשה של משתמש מתורגמת לקוד רץ.

מה בדיוק קנו כאן

שווי כזה מזמין את ההנחה שהמודל של Lovable כותב קוד טוב יותר משל המתחרות. הנתונים שהחברה פרסמה לצד ההודעה מצביעים על משהו אחר, שקשור להיקף הרבה יותר מאשר לאיכות:

• יותר מ-60 מיליון פרויקטים נבנו על הפלטפורמה מאז ההשקה
• האפליקציות שיצאו ממנה מקבלות מעל 900 מיליון ביקורים בחודש
• המוצר בשימוש בקרוב לשני שלישים מחברות Fortune 500

בין הלקוחות שהחברה מזכירה בשמות נמצאות Nvidia, Adidas, Deutsche Telekom ו-Zendesk. השם על החשבונית הוא של הארגון, אבל מי שיושב מול המסך בפועל הוא מנהל מוצר, אנליסט או מישהו מהתפעול. זה בדיוק אותו אדם שקודם עמד בתור. ההרחבה הזאת של הקונה היא מה שמומן כאן, כי ברגע שקונה של כלי פיתוח כבר לא חייב להיות מפתח, השוק גדל בסדר גודל שלם. דיווח של TechCrunch על הסבב מציין שהחברה מריצה מודל שאומן אצלה לצד מודלים חיצוניים, ניסיון לרדת בעלויות בדיוק ברגע שבו היקף השימוש מתפוצץ.

את חסם הכניסה, לעומת זאת, הכסף לא קונה, ולשוק הישראלי יש על כך הדגמה טרייה. מאור שלמה (Maor Shlomo) בנה את Base44 לבד, עם שמונה עובדים בסך הכול. הוא הגיע ל-250 אלף משתמשים ולרווח של 189 אלף דולר בחודש מאי. את החברה הוא מכר ל-Wix תמורת 80 מיליון דולר במזומן, כשהיא בת שישה חודשים. כשמישהו מרכיב מוצר מתחרה בחצי שנה עם צוות בגודל של מסיבת יום הולדת, 400 מיליון דולר קונים פחות פיתוח ויותר קצב. מי שמגיע ראשון להרגל של המשתמש מחזיק אותו גם כשהטכנולוגיה שלו אינה הטובה בשוק.

איפה זה נשבר

הודעת הגיוס מונה משקיעים, ערים, משרדים ותוכניות כוח אדם. אין בה מילה אחת על הממצא שחוקרי אבטחה מדווחים עליו שוב ושוב מאז 2025 באפליקציות שנבנות בפלטפורמות מהסוג הזה.

באוקטובר האחרון סרקה חברת האבטחה Escape יותר מ-5,600 אפליקציות ציבוריות שנבנו בפלטפורמות וייב קודינג, רובן ב-Lovable. היא מצאה בהן מעל 2,000 חשיפות אבטחה ויותר מ-400 סודות גלויים, בהם מפתחות API. בנוסף נמצאו 175 מקרים של מידע אישי חשוף, שכלל רשומות רפואיות ומספרי חשבון בנק. בכל המקרים חזר אותו דפוס. מדיניות ההרשאות ברמת השורה במסד הנתונים, אותו RLS שמחליט מי רשאי לקרוא איזו רשומה, הוגדרה חלקית או בכלל לא.

בפברואר הדגים יזם בשם תיימור ח’אן (Taimur Khan) איך זה נראה בשטח. הוא לקח אפליקציה אחת שהוצגה בעמוד הפרויקטים המובחרים של Lovable, כזאת שכבר צברה מעל 100 אלף צפיות, ומצא בה שש עשרה חשיפות שמתוכן שש קריטיות. אחת מהן הפכה את לוגיקת ההרשאות על ראשה, כך שמשתמש אנונימי קיבל גישה מלאה ומשתמש מחובר נחסם. הדיווח ב-The Register מפרט 18,697 רשומות משתמשים שנחשפו, בהן 4,538 חשבונות סטודנטים מ-UC Berkeley ומ-UC Davis. ח’אן סיכם את המקרה במשפט שקשה לשכוח: “השומר חוסם את מי שהוא אמור להכניס ומכניס את מי שהוא אמור לחסום. היפוך לוגי קלאסי שבודק אנושי היה תופס בשניות.”

בתגובה הגדירה Lovable את גבול האחריות בצורה מפורשת. מנהל אבטחת המידע שלה, איגור אנדריושצ’נקו (Igor Andriushchenko), השיב שכל פרויקט שנבנה בפלטפורמה מקבל סריקת אבטחה חינמית לפני פרסום. את יישום ההמלצות, לדבריו, משאירה החברה לשיקול דעתו של המשתמש. כלומר הכלי מודיע שהדלת פתוחה, ומשאיר את הסגירה למי שקנה את הבית.

למה הפער הזה חוזר בכל פעם

המנגנון שמייצר את הממצאים האלה פשוט למדי, וזאת בדיוק הסיבה שקשה לתקן אותו. המודל בונה את מה שביקשתם, ואף אחד לא מבקש “תוודא שאדם זר לא יוכל לקרוא את טבלת הלקוחות”. מי שלא בא מעולם התוכנה לא יודע שזאת בקשה שצריך בכלל לנסח. ההדגמה עוברת בהצלחה תמיד, כי בהדגמה יש משתמש אחד והוא ישר, והפער נשאר סמוי עד שמישהו זר מנסה.

גם באפליקציה של החברה עצמה נמצאה חשיפה מסוג BOLA, כלומר כשל בהרשאות שמאפשר להגיע לרשומה של משתמש אחר. היא דווחה בתחילת מרץ, ולפי תחקיר של The Next Web נשארה פתוחה בפרויקטים קיימים במשך 48 יום.

למה זה יקר יותר בישראל

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא נתן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים ישירות, בלי לעבור בבית משפט, והוסיף חובת דיווח מיידית על אירוע אבטחה חמור. ביולי הוטל העיצום הראשון מכוחו, 256 אלף שקל על קופת חולים מאוחדת. הקנס לא נגזר מהדליפה עצמה. האירוע התגלה בנובמבר ודווח רק בינואר, והפער הזה הוא מה שתומחר. ראש הרשות, גלעד סמע (Gilad Semama), אמר באותה הזדמנות שהפרות אחרי התיקון גוררות סנקציות משמעותיות. התיק הראשון שיצא מהמשרד שלו מראה מה זה אומר בפועל.

עכשיו קחו את בעל העסק שמייצר בשעתיים אפליקציה שאוספת פרטי לקוחות. הוא מעלה אותה לאוויר ולא מבין שההרשאות במסד הנתונים פתוחות לרווחה. מבחינת החוק הוא מנהל מאגר מידע, על כל מה שנגזר מזה. הפלטפורמה מצדה נתנה לו סריקה והמלצות, והשאירה את היישום בשיקול דעתו.

בפועל זה מחלק את השימוש בכלי לשניים. בצד אחד יש את מה שאפשר לבנות היום בלי לחשוב פעמיים:

• כלי פנימי שרק אתם רואים
• דשבורד שמושך נתונים ממערכת קיימת
• טופס פנימי או מחשבון תמחור
• אב טיפוס שמראים ללקוח לפני שמזמינים פיתוח אמיתי

לקטגוריה הזאת אין תחליף. זה הדבר הכי משתלם שקרה לעסקים קטנים בעשור הזה, ואין שום סיבה להסס. הצד השני נראה אחרת לגמרי. ברגע שיש מסך התחברות ומידע שאינו שלכם מאחוריו, נכנס שלב שאין לו קיצור. מישהו שמבין הרשאות צריך לעבור על מדיניות הגישה לפני שהאפליקציה נפתחת לעולם.

הבדיקה שלוקחת חצי שעה

רוב האפליקציות האלה יושבות על Supabase. המפתח הציבורי שלה גלוי בקוד בכוונת מכוון, כי הוא לא נועד להיות סוד. כל מערך ההגנה נשען על אותם כללי הרשאות ברמת השורה, ואם הם לא הוגדרו, אין שום הגנה. הבדיקה עצמה קצרה יותר משנדמה, ואפשר לעשות אותה בלי לדעת לכתוב שורת קוד:

1. היכנסו ללוח הבקרה של מסד הנתונים ועברו טבלה אחרי טבלה.
2. כל טבלה שמחזיקה מידע על בני אדם צריכה מדיניות גישה פעילה, כזאת שמשווה את מזהה המשתמש המחובר לבעלים של השורה.
3. פתחו את האפליקציה בחלון גלישה בסתר, בלי להתחבר בכלל.
4. נסו להגיע לנתון ששייך למישהו אחר.

אם משהו חוזר במקום הודעת שגיאה, יש לכם דליפה פתוחה. חצי השעה הזאת היא ההפרש בין כלי שחסך לעסק חודש פיתוח לבין שיחה עם עורך דין על חובת דיווח.

הסבב תמחר את החצי הראשון של בניית תוכנה, המרחק בין רעיון לבין משהו שרץ, ב-13.3 מיליארד דולר, וזה כנראה מחיר הוגן. החצי השני, המרחק בין משהו שרץ לבין משהו שמותר להכניס אליו את מספר הטלפון של לקוח, לא נכלל בעסקה ולא הוזכר בהודעה. חלק מהכסף החדש הולך לגיוס באבטחה, ושם אפשר יהיה לראות אם משהו זז. בינתיים שווה לעקוב אחרי שני דברים: אם Lovable תהפוך את הגדרת ההרשאות מהמלצה לברירת מחדל, ואם התיק הבא של הרשות להגנת הפרטיות יגיע מאפליקציה שמישהו בנה בשעתיים.