>瑞典AI初创公司Lovable近日凭借一轮惊人的融资表现震撼了科技圈，其估值在短短数月内翻了三倍，成功跻身全球顶级AI独角兽行列：

## 资本盛宴 巨头扎堆入局

Lovable正式宣布完成3.3亿美元的B轮融资。这距离其上一轮融资仅过去几个月，公司估值已火箭般蹿升至66亿美元，较今年7月增长了三倍以上。

本轮融资的阵容堪称豪华，由Alphabet旗下的增长基金CapitalG和Menlo Ventures领投。更引人注目的是，英伟达（Nvidia）的投资部门NVentures、Salesforce Ventures以及德国电信的T.Capital也悉数加入战局。巨头们的集体站台，无疑是对Lovable所代表的“零代码开发”趋势的最强背书。

![Google_AI_Studio_2025-12-23T02_38_20.257Z.png](https://static.downly.cn/images/b1de3c2a8c12b106dc0058c9bfaf5b09.png)

<center>图源备注：图片由AI生成</center>

## 技术落地 极简模式受热捧

Lovable的核心竞争力在于其颠覆性的开发模式。通过先进的AI技术，非技术背景的用户只需输入文本提示词，即可轻松开发应用程序和构建网站。这种极简的操作极大地降低了软件开发的门槛，迅速赢得了市场的热烈响应。

目前，包括Uber、Klarna和德国电信在内的众多知名企业已成为其核心客户。以Uber为例，利用Lovable的平台，其设计概念的测试周期从传统的六周大幅缩减至仅仅五天。

## 数据惊人 商业化进程加速

Lovable披露的数据显示，其平台目前每天有超过10万个新项目正在构建，累计创建项目数已突破2500万大关。在营收方面，公司年经常性收入（ARR）也实现了爆发式增长，从一年前的100万美元飙升至今年11月的2亿美元。

据悉，公司计划利用这笔新资金进一步深化与现有软件工具的集成，并全面升级其底层算力基础设施，以应对日益增长的用户需求。

估值狂飙至66亿美元！Lovable获谷歌英伟达押注，AI编程赛道再现独角兽

> 今日AI界风起云涌：谷歌将Gemini全面融入地图与电视，引领交互新革命；软银与OpenAI的合作引发资本新思考；Kaltura重金布局AI数字人赛道；编程新贵Lovable用户激增，商汤与月之暗面发布创新模型与框架，而Meta则在语音识别领域打破语言壁垒，技术与资本共同推动AI浪潮进入新高度。


## 软银联手OpenAI成立“水晶智能”，AI投资新模式或引行业“资金空转”担忧

软银与OpenAI宣布合资成立“水晶智能”公司，旨在为日本企业提供先进的AI工具。然而，鉴于软银本身就是OpenAI的重要投资者，这一举动引发了业界对于AI领域投资模式的深入思考。市场担忧此类交易可能并未真正创造新的经济价值，而是导致资本在巨头生态系统内部循环，形成“资金空转”现象。


![image.png](https://static.downly.cn/images/d99a8d575a33e13805651a817710a952.png)
图源备注：图片由AI生成
 

## Gemini登陆Google TV，家庭娱乐迎来情景化AI交互革命

谷歌正式在Google TV平台上推出Gemini语音助手，以取代原有的Google Assistant。这是谷歌将Gemini全面整合至其各类平台战略的关键一步。通过Gemini强大的AI能力，用户将能够以更自然、更具情境化的方式进行复杂的内内容查询和功能操作，例如根据“推荐一部适合全家观看的科幻喜剧”等多重偏好指令寻找电影，极大地提升了家庭娱乐的智能化体验。

![image.png](https://static.downly.cn/images/1b539be1146748f2a08fc1fb8c5ad43b.png)
图源备注：图片由AI生成
 

## 谷歌地图拥抱Gemini，一句话生成交互式地图

谷歌地图迎来重大升级，通过深度集成Gemini大模型，转型为一个AI空间智能平台。此次更新推出了创新的“Builder Agent”功能，允许用户和开发者仅通过自然语言指令，就能快速生成交互式地图。结合MCP服务器和Grounding Lite技术，新版谷歌地图不仅为普通用户带来了前所未有的智能体验，也极大地提升了开发者的工作效率。

![image.png](https://static.downly.cn/images/b5eac1b01ef3e7dc65d3e4d3cac9f8d7.png)
图源备注：图片由AI生成
 

## Kaltura豪掷2700万美元收购eSelf.ai，发力企业级AI视频交互

视频技术公司Kaltura宣布以2700万美元收购eSelf.ai，获取其先进的实时对话虚拟人技术。此次收购是Kaltura“视频即服务界面”战略的核心举措，旨在将其视频平台从传统的内容分发工具，转变为一个智能交互界面。通过整合AI数字人技术，Kaltura期望能显著提升企业客户的沟通效率和用户参与度。

![image.png](https://static.downly.cn/images/929aa6b833b51972cae52cf5d61c60b1.png)
图源备注：图片由AI生成
 

## AI编程新星Lovable用户破800万，“氛围编程”引领行业潮流

瑞典AI编程平台Lovable在成立仅一年的时间里，实现了爆炸式增长，用户总数已接近800万，每日有超过10万个新产品通过该平台发布。作为“氛围编程”理念的开创者，Lovable已从一个开源工具迅速成长为估值超10亿美元的独角兽公司，其用户覆盖从学生到高收入开发者，充分展示了AI在编程领域的巨大潜力。

![image.png](https://static.downly.cn/images/6d53b42ee31f3d10672f4e605950c699.png)
图源备注：图片由AI生成
 

## 商汤发布SenseNova-SI模型，空间智能能力超越GPT-5

商汤科技发布了其开源的SenseNova-SI系列模型，在空间智能领域取得了重大突破。根据权威评测结果，该模型在空间理解与推理方面的能力已超越包括GPT-5在内的顶尖闭源模型。这一成果有效弥补了当前大模型在空间智能方面的短板，展现了卓越的性能。

![image.png](https://static.downly.cn/images/eb4325fb3dd40a21d0960a550d9c7271.png)
图源备注：图片由AI生成
 

## 月之暗面开源Kosong框架，赋能下一代AI智能体开发

国内AI创业公司月之暗面开源了其全新的AI代理框架Kosong。该框架以其轻量级和灵活的设计理念，有效解决了当前AI开发中工具碎片化的难题。通过提供统一的抽象层，Kosong简化了下一代智能体的开发流程，帮助开发者更紧密地将大模型的能力与真实应用场景相结合，一经发布便获得了开发者社区的热烈反响。

![image.png](https://static.downly.cn/images/adcd3a700c2139766c70d6c3bce24028.png)
图源备注：图片由AI生成
 

## Meta AI发布“全语种”语音识别系统，支持超1600种语言

Meta发布了名为Omnilingual ASR的自动语音识别系统，该系统能够转录超过1600种口语语言，是目前支持语种最多的系统之一。此举旨在解决当前AI工具在语言覆盖上的严重不足，推动实现通用语音转录，从而弥合全球不同语言在获取AI技术支持方面的鸿沟，向打破全球语言壁垒的目标迈出重要一步。

![image.png](https://static.downly.cn/images/32ac3dd071597c42bb68692168d0df88.png)
图源备注：图片由AI生成

每日AI资讯1111：谷歌AI全面融入生活，AI投资与开源框架引领新趋势

> 近日，一位来自 Replit 团队（知名AI 编程公司，Lovable友商）的员工报告，Lovable平台存在严重的行级安全(`Row Level Security, RLS`)策略实现缺陷，导致未经授权的用户可以访问敏感数据并注入恶意内容。此外，平台的默认公开项目设置和remix功能进一步加剧了数据泄露风险。本文将详细阐述了漏洞的技术细节、影响范围、披露过程、各方回应以及安全建议，旨在提高开发者和用户对此类平台安全风险的认识。

Lovable是一家瑞典初创企业，其产品被定位为"软件体系的最后一块拼图"，通过AI技术极大降低开发门槛，使客户无需技术培训即可使用自然语言提示词创建网站及应用程序。作为"氛围编码"（vibe coding）领域的代表，Lovable在欧洲市场快速增长，被称为"欧洲版Cursor"。

## 1. 漏洞概述

2025年3月20日，Replit公司员工Matt Palmer及其同事发现Lovable平台存在严重安全漏洞（CVE-2025-48757），该漏洞涉及行级安全(RLS)策略实现不当，允许未授权用户访问敏感数据并注入恶意内容。此外，Lovable平台非Pro用户创建的项目默认为公开状态，结合其remix功能，进一步增加了数据泄露风险。

![](https://static.downly.cn/images/image-20250603091520914-1748913389378-1.png)

**CVE-2025-48757详情：**

![](https://static.downly.cn/images/image-20250603090338879.png)

## 2. CVE-2025-48757漏洞技术分析

### 2.1 漏洞本质

CVE-2025-48757漏洞的核心是Lovable平台在实现行级安全(RLS)策略时存在严重缺陷：

1.RLS配置缺失或错误：Lovable平台创建的应用程序常缺乏安全的RLS配置，导致数据库表缺少必要的访问控制。

2.客户端与后端安全策略不一致：客户端逻辑与后端权限控制(RLS)策略存在错位，前端实现的访问控制在后端没有得到有效执行。

3.身份验证绕过：攻击者可通过移除授权头部，将请求安全上下文从已认证用户变为未认证用户，从而绕过访问控制。

### 2.2 漏洞利用方式

在Lovable，只有Pro用户才能创建private项目，任何人都可以查看并使用remix的方式克隆他人的项目，这是一个非常重要的前提。

![](https://static.downly.cn/images/image-20250603084746944.png)

#### 2.2.1 数据访问漏洞

攻击者可以通过修改查询参数访问项目"用户"表中的所有数据。例如，在Linkable网站（一个由Lovable构建的将LinkedIn资料转化为个人网站的应用）中，Palmer能够查看约500名用户的电子邮件地址。

#### 2.2.2 数据修改漏洞

攻击者可以通过发送带有精心构造的有效载荷的POST请求插入新记录。在Linkable网站的案例中，研究人员成功通过设置"payment_status": "paid"绕过了Stripe支付集成，实现了未授权的数据写入。

### 2.3 技术架构问题

Lovable 为用户提供了一种简单的方法来连接到Supabase 的数据库服务，但存在配置不当问题。

![](https://static.downly.cn/images/image-20250603085004055.png)

Lovable平台的安全漏洞与其技术架构密切相关：

1.客户端驱动架构：Lovable应用主要以客户端驱动为主，将大量逻辑放在前端执行。

2.外部服务依赖：依赖外部服务(如Supabase)完成身份验证和数据存储等后端操作，增加了配置复杂性。

3.安全责任转移：将安全责任转移给应用程序的开发者，而非平台本身，但缺乏足够的安全指导和默认保护。

### 2.4 "安全扫描"功能的局限性

Lovable在4月24日推出的"安全扫描"功能存在严重局限：

1.该功能仅检查Supabase数据库是否启用了访问控制，而不检查控制选项是否正确配置。

2.提供虚假的安全感，无法检测到暴露数据的错误配置。

3.未解决底层RLS架构缺陷，即使在扫描后，应用仍可能存在漏洞。

## 3. 漏洞影响范围

### 3.1 受影响应用数量

在扫描的1,645个Lovable创建的应用中，约170个(10.3%)存在漏洞，涉及303个端点存在不充分的RLS设置。这表明RLS配置错误是一个系统性问题，而非孤立事件。

### 3.2 暴露数据类型

通过漏洞可能泄露的敏感数据包括：

•用户个人信息(姓名、电子邮件地址)

•财务信息

•API密钥(包括Google Maps、Gemini API、eBay等服务)

•个人债务金额

•家庭住址

•"擦边提示词"

### 3.3 潜在攻击场景

1.数据窃取：攻击者可获取用户个人信息和凭证，用于身份盗窃或定向攻击。

2.API滥用：获取的API密钥可被用于未授权访问第三方服务，可能导致财务损失。

3.数据篡改：攻击者可修改数据库内容，包括支付状态、用户权限等。

4.服务中断：通过删除或破坏数据，可能导致服务不可用。

## 4. 漏洞披露过程

### 4.1 时间线

1.2025年3月20日：初次发现Linkable网站(Lovable构建)的漏洞。

2.2025年3月21日：识别出更广泛的RLS配置错误问题，并通过电子邮件通知Lovable。

3.2025年3月24日：Lovable确认收到邮件，但未回复。

4.2025年4月14日：

•Palantir工程师Danial Asaria独立发现并公开发推文谈论同一漏洞。

•Palmer再次通知Lovable，引用公开利用情况，并启动45天披露窗口期。

5.2025年4月24日：Lovable发布"Lovable 2.0"，增加"安全扫描"功能，但未解决底层RLS架构缺陷。

6.2025年5月24日：Palmer对Linkable网站进行再次评估，发现仍存在数据操纵和注入等严重安全问题。

7.2025年5月29日：由于Lovable未采取有效修复措施或通知用户，Palmer发布CVE编号。

### 4.2 Lovable的回应与措施

1.初次回应：否认存在漏洞，随后删除相关推文和网站。

2.临时措施：Linkable重新上线并开始收取2美元费用。

3.安全功能：推出"安全扫描"功能，但仅检查Supabase数据库是否启用了访问控制，未检查配置是否正确。

4.公开声明(5月30日)："与几个月前相比，Lovable现在在构建安全应用方面有了显著提升，并且还在快速改进。话虽如此，我们的安全水平尚未达到预期，我们将致力于持续提升所有Lovable用户的安全状况。"

## 5. 默认公开项目与Remix功能的安全风险

### 5.1 默认公开项目机制

根据Lovable官方隐私政策和用户补充信息，非Pro用户创建的项目默认为公开状态：

"如果您的项目设置为'公开'，那么提示和代码可以被其他用户看到。您的公开项目也可以被remix并用作其他项目的起点。私有项目不可被remix，其代码和提示对其他用户不可见。" —— Lovable隐私政策，"用户内容可见性"部分

这一默认设置意味着：

1.非Pro用户的项目代码、提示词和配置默认对所有人可见。

2.用户需要主动将项目设置为私有，但这通常需要升级到付费计划。

3.许多用户可能不知道自己的项目是公开的，尤其是缺乏技术背景的新手。

### 5.2 Remix功能及其风险

Lovable的Remix功能允许用户克隆并修改其他公开项目：

1.配置复制：Remix会复制原项目的代码、结构和配置，包括可能存在的不安全设置。

2.凭证泄露：如果原项目包含硬编码的API密钥、数据库连接字符串或其他凭证，这些也会被复制到新项目中。

3.权限继承：新项目可能继承原项目的不安全权限设置，导致相同的漏洞在多个项目中传播。

### 5.3 组合风险分析

默认公开项目与Remix功能相结合，形成了严重的安全风险链：

1.漏洞传播：一个存在RLS配置错误的公开项目可能被多次remix，导致漏洞在生态系统中快速传播。

2.凭证暴露链：一个包含API密钥的公开项目被remix后，这些凭证可能被更多人看到并滥用。

3.安全意识差距：缺乏安全知识的用户可能不了解公开项目和remix带来的风险，无意中暴露敏感信息。

4.难以追踪：当漏洞通过remix传播时，很难追踪源头并通知所有受影响用户。

## 6. 安全专家观点

### 6.1 SentinelOne首席信息安全官Alex Stamos

•Web应用程序最佳实践要求完全避免让用户直接访问数据库。

•应用程序应当确定用户可以访问哪些信息，再据此执行数据交付。

•允许用户直接接入数据库存在巨大风险，即使有正确处理方法，成功率也极低。

### 6.2 Replit公司CEO Amjad Masad

•不能期望新手开发者理解并掌握底层安全配置。

•如果一款工具号称能轻松部署应用程序，就必须确保这些应用程序的安全性。

•氛围编码工具应该提供安全默认设置，而不是将安全责任完全转嫁给用户。

## 7. 安全建议

### 7.1 对Lovable平台的建议

1.实施安全默认设置：所有项目默认应为私有，只有在用户明确选择后才设为公开。

2.改进RLS实现：提供预配置的安全模板和自动化工具，确保正确实施RLS策略。

3.增强安全扫描：扩展当前的安全扫描功能，不仅检查RLS是否启用，还应验证其配置是否正确。

4.用户通知机制：建立机制通知用户潜在的安全问题，特别是当他们的项目包含敏感数据时。

5.沙箱环境：为氛围编码应用提供沙箱环境，限制可能造成的损害。

### 7.2 对Lovable用户的建议

1.项目可见性审查：检查所有项目的可见性设置，确保包含敏感信息的项目设为私有。

2.避免存储敏感数据：不要在Lovable项目中存储API密钥、凭证或个人敏感信息。

3.定期安全审查：定期检查项目的安全设置，特别是在更新后。

4.使用环境变量：对于需要API密钥的项目，使用环境变量而非硬编码。

5.限制数据访问：实施最小权限原则，限制应用对数据的访问范围。

### 7.3 对氛围编码行业的建议

1.建立安全标准：制定氛围编码平台的安全最佳实践和标准。

2.责任明确化：明确平台提供商和用户在安全方面的责任边界。

3.安全教育：提供针对非技术用户的安全意识培训和资源。

4.防御深度：实施多层次安全控制，不仅依赖单一防护措施。

5.透明度：平台应公开其安全措施和限制，帮助用户做出明智决策。

## 8. 结论

Lovable平台的CVE-2025-48757漏洞以及默认公开项目与remix功能带来的额外风险，凸显了氛围编码工具在安全实践方面的重大挑战。虽然这些工具极大地降低了软件开发的门槛，但同时也带来了新的安全风险，特别是当用户缺乏安全知识时。

平台提供商需要认识到，随着开发工具的民主化，安全责任不应完全转嫁给用户。相反，应该提供安全默认设置、自动化安全检查和清晰的风险通知。同时，用户也应提高安全意识，了解这些平台的限制和潜在风险。

随着氛围编码和AI辅助开发工具的持续发展，行业需要建立新的安全范式，在保持易用性的同时确保应用安全。只有通过平台提供商、用户和安全社区的共同努力，才能实现这一平衡。

## 参考资料

1.Matt Palmer. (2025). Statement on CVE-2025-48757. https://mattpalmer.io/posts/statement-on-CVE-2025-48757/

2.Semafor. (2025). The hottest new vibe coding startup may be a sitting duck for hackers. https://www.semafor.com/article/05/29/2025/the-hottest-new-vibe-coding-startup-lovable-is-a-sitting-duck-for-hackers

4.Matt Palmer. (2025). Twitter/X Post on Lovable Vulnerability. https://x.com/mattppal/status/1928106325613105370

5.Lovable. (2024). Privacy Policy. https://lovable.dev/privacy

6.Bay Tech Consulting. (2025). An Analysis of Loveable AI: Features, Pricing, Value, and Market Position 2025. https://www.baytechconsulting.com/blog/an-analysis-of-loveable-ai-features-pricing-value-and-market-position-2025





"欧洲版Cursor"遭友商狙击 - Replit团队揭露Lovable平台数据泄露漏洞

去年，在我第一次使用`Bolt.new`的时候体验到了它非常强大的"一键式开发+部署能力"，只需要简单的提示词或者一张截图就能生成漂亮的前端页面（默认支持多端自适应）。 但是缺点也非常明显，那就是在开发一个稍微大一点的项目（5-10个页面，一个页面500行左右）的时候Token非常不够用，我粗略的计算了下，只要稍微给点强度，三天之内就可以把1000w Token用完。

那个时候我还没意识到"Bolt.new"的Token究竟会跑的有多快，只是认为这一切可能都是正常的情况，毕竟它1000W Token摆在那儿，看起来已经很"良心"了。那段时间我用"Bolt.new"给我优化了多个前端页面，整体效果还是非常不错的也的确给我带来了较大的效率提升。

简单的展示一下我去年开发的一个"网络空间测绘平台"，前端使用了"Bolt.new"优化，整体效果如下：

![20250525012344.png](https://static.downly.cn/images/20250524172439.478551638.png)

还有一个花了一晚上使用`Bolt.new`开发的小破站：https://resonant-seahorse-bf278a.netlify.app/。

我在Taobao买了2次 `Bolt.new`才勉强把几个页面优化完，后来实在感觉太贵了改用WindSurf后就不再续费了。 ![20250525010749.png](https://static.downly.cn/images/20250524170902.404523006.png)

## 再次尝试 - Token消耗之谜揭晓

时隔半年，我再次登录`Bolt.new`，发现居然还是Pro（有点莫名其妙），既然如此，何不再次尝试一下呢？ 不知道是从什么时候开始，`Bolt.new`已经支持了从Github导入项目，正好我Github上有一个基于Next.js的前端项目：[downly.cn](https://www.downly.cn/)，于是我就开始了今天的"AI编程体验"。

先说结果，`Bolt.new`的操作还是比较丝滑的（相比[Lovable](https://lovable.dev/)基本没有任何优势）。但是这并不能掩盖它致命的缺陷"慢"、"疯狂消耗Token"！ 下面请看我现在的Token使用情况： 
![Description](https://static.downly.cn/covers/20250524170755.907352209.png)

是的，没错，1000W Token，它已经被我用完了。我甚至只提了一个需求（Build错误的时候自动修复了大约3次）！ ![20250525015144.png](https://static.downly.cn/images/20250524175853.187847850.png) 

这就有点离谱了，我审计了它修改的代码（Bolt.new每次修改都会提交到Github），终于明白了问题所在。 `Bolt.new`总计给我修改了4次，其中有3次都是在修改Build错误，下面是它的Github提交记录： 
![20250525020436.png](https://static.downly.cn/images/20250524180455.439267920.png)

具体修改的代码如下： 

![20250525020339.png](https://static.downly.cn/images/20250524180645.069161353.png)



## Token消耗的根本原因

是的，它只是修改了5行代码！然而，它为了修改这5行代码，它把整个页面都原封不动的重写了一遍，而我就一直盯着它一直在哪儿哗啦啦的输出，1000W Token如流水一般瞬间就没了.... 事实上，这样的问题也是可以理解的，因为Claude本身就会这么干，只不过它一般会使用偷懒的写法（只输出需要修改的部分）。但是让人无法忍受的是这不是在浪费Token吗？

对比[Lovable](https://lovable.dev/)、Cursor、WindSurf的一次对话，不管修改多少代码都只记一次Prompt credits消耗（以前WindSurf是基于ActionFolw计算的，也明显感觉每次都是积分消耗远远高于`User Prompt credits`），显然`Bolt.new`不再具有任何的优势。



## 更具性价比的替代方案

相比`Bolt.new`，更具性价比且设计的效果非常Nice的AI编程工具则更推荐[Lovable](https://lovable.dev/)和[蓝湖AI](https://lanhuapp.com/)。 例如，[Downly.cn](https://monica.im/home/chat/Monica/Downly.cn)的首页就是我基于Lovable开发的前端页面，第一次使用Lovable的时候，我只是想让它Copy一个类似小红书的网站，而它生成出来的效果非常不错（自适应、带动效）： 
![20250525022846.png](https://static.downly.cn/images/20250524182905.752626374.png)

后来，我又让Lovable帮我开发了几个AI导航页面，整体体验非常不错，效果如下： 

![20250525025852.png](https://static.downly.cn/images/20250524185916.602780614.png)

![20250525025225.png](https://static.downly.cn/images/20250524185340.769286000.png)

除此之外，我还用canva给我设计了Logo、蓝湖给我设计了App，仿佛间AI已经替我完成了非常多的开发和设计任务，在庆幸之余，更多的是"焦虑🍌🟢"。

基于canva设计的Logo：
![image.png](https://static.downly.cn/images/20250524190544.915637063.png)

基于蓝湖开发的App客户端： ![20250525024651.png](https://static.downly.cn/images/20250524185029.608222084.png) App最终效果（基于Tauri+Next.js开发）： ![20250525025115.png](https://static.downly.cn/images/20250524185124.997215875.png)



## 关于Downly.cn

[Downly.cn](https://www.downly.cn/)是我正在建设中的一个集AI文章、教程、应用、导航于一体的综合类门户网站。虽然目前还处于建设阶段，但它的开发过程恰好成为了我测试各种AI编程工具的绝佳案例。

通过这次的对比实验，我更加确信：在AI辅助开发领域，工具的选择不仅关乎效率，更直接影响项目成本。对于大多数开发者而言，像Lovable这样的工具可能是更明智的选择——它们提供了合理的计费模式，避免了不必要的资源浪费，同时保持了高质量的开发体验。

随着AI技术的不断进步，我相信会有更多优秀的工具涌现。而Downly.cn的目标之一，就是帮助开发者在这个日新月异的领域中找到最适合自己的工具和方法。欢迎关注Downly.cn的建设进展，一起探索AI赋能开发的无限可能！

搜索结果: Lovable