Claude Fable 5.2 vs Gemini 4 Carbon, y los parches de Railway, React y Outlook

En este vídeo pongo a Claude Fable, Gemini y ChatGPT ante una pregunta: ¿puede la IA crear un juego al estilo Call of Duty? La guía de abajo cubre los precios y las noticias de seguridad de esa misma semana. Datos verificados el 12 de noviembre de 2026.

Respuesta corta: Claude Fable 5.2 (lanzado el 9 de noviembre) cuesta 8 $ por millón de tokens de entrada y 40 $ por millón de salida, frente a 10 $ y 50 $ antes. Según un informe, Gemini 4 Carbon (lanzado el 10 de noviembre) costará 4 $ y 20 $ cuando termine su precio de lanzamiento el 30 de noviembre. En esas mismas 72 horas, Railway informó de que secretos robados a sus clientes pagaron unos 740.000 $ en uso de IA, React publicó un fallo crítico en Server Components (CVE-2026-126187) y Microsoft corrigió un fallo de Outlook que ya se estaba explotando (CVE-2026-124194). Si usas React Server Components, Next.js, Railway u Outlook, esta semana tienes algo que parchear o rotar.

¿Cuánto cuestan Claude Fable 5.2 y Gemini 4 Carbon?

Modelo	Lanzamiento	Entrada por 1M tokens	Salida por 1M tokens	Quién puede usarlo
Claude Fable 5.1	Antes en 2026	10 $	50 $	Sustituido por 5.2
Claude Fable 5.2	9 nov 2026	8 $	40 $	Todos, vía Anthropic, AWS, Google Cloud y Azure
Claude Mythos 5.2	9 nov 2026	No público	No público	Solo programas de verificación Life Sciences y Cyber
Gemini 4 Carbon	10 nov 2026	4 $ (según informe)	20 $ (según informe)	Desarrolladores, empresas y usuarios

Anthropic afirma que Fable 5.2 responde hasta un 30 % más rápido que 5.1 y que resolvió dos problemas abiertos de la física de agujeros negros. Son afirmaciones de la empresa sin verificación independiente publicada. Gemini 4 Carbon está por encima de Gemini 4 Argon, lanzado el 13 de octubre. El precio de Carbon procede de un solo informe, así que confírmalo en la página de precios de Google antes de presupuestar.

¿Qué supone la bajada de precio en una aplicación real?

Imagina un chatbot de soporte con 10.000 conversaciones al mes, cada una con unos 2.000 tokens de entrada y 500 de salida. Son 20 millones de tokens de entrada y 5 millones de salida.

• Claude Fable 5.1: 20 × 10 $ + 5 × 50 $ = 450 $ al mes
• Claude Fable 5.2: 20 × 8 $ + 5 × 40 $ = 360 $ al mes
• Gemini 4 Carbon: 20 × 4 $ + 5 × 20 $ = 180 $ al mes

El precio por token es solo la mitad de la factura. Un modelo que necesita menos reintentos, prompts más cortos o menos salida para terminar una tarea puede salir más barato por tarea aunque su token cueste más. Prueba tus propios prompts en ambos antes de cambiar.

¿Qué pasó en Railway y qué debes rotar?

Railway pidió a sus clientes que rotaran sus secretos el 22 de octubre. El 10 de noviembre explicó que los atacantes aprovecharon vulnerabilidades de su infraestructura, robaron secretos de autenticación de clientes y los usaron para unos 740.000 $ de uso fraudulento de IA. Las credenciales de hasta 100.000 espacios de trabajo podrían estar expuestas. Railway dice que no encontró pruebas de acceso a repositorios Git ni a bases de datos de clientes. Los nuevos registros están en pausa.

Para hacerse una idea: al precio de salida de Fable 5.2, 40 $ por millón de tokens, 740.000 $ compran 18.500 millones de tokens de salida. Rota en este orden para no tumbar tu aplicación:

1. Crea una clave nueva en el proveedor (Anthropic, Google, OpenAI, Stripe, etc.).
2. Sustituye el valor en las variables del servicio en Railway.
3. Vuelve a desplegar y comprueba que las peticiones funcionan con la clave nueva.
4. Revoca la clave antigua en el proveedor.
5. Revisa el registro de uso desde el 22 de octubre y denuncia cualquier gasto que no reconozcas.

¿Hackearon React? CVE-2026-126187 explicado

No. React publicó y corrigió un fallo crítico. CVE-2026-126187 (GHSA-xqc2-xf4c-x3h3, publicado el 10 de noviembre) permite ejecutar código en el servidor sin autenticación a través de React Server Components. Una fuente lo puntúa con 9,5 y otra con 10,0, y no se ha informado de explotación. Los paquetes afectados son react-server-dom-webpack, react-server-dom-turbopack y react-server-dom-parcel. Las versiones corregidas son 19.0.9, 19.1.10, 19.2.9 y 19.3.1.

Revisa primero tus dependencias directas:

npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

Si usas Next.js, ese comando puede no mostrar nada y aun así no estar a salvo. Next.js compila su propia copia del runtime de servidor de React dentro del paquete next, así que ese código no aparece en tu árbol de dependencias y npm audit no lo ve. Lee la versión incluida directamente:

grep -o "19\.[0-9]*\.[0-9]*-canary-[a-z0-9-]*" node_modules/next/dist/compiled/react/cjs/react.production.js | head -1

A 12 de noviembre, Next.js 16.4.5 y 16.4.6, la última versión estable, incluyen React 19.3.0-canary-278794d7-20261002. Esa compilación es del 2 de octubre, anterior a la corrección, y Next.js aún no ha publicado su propio aviso para este CVE. La compilación 16.5.0-canary.48 del 11 de noviembre pasa a un canary más reciente de React, pero no he podido confirmar que incluya la corrección, así que no pondría un canary en producción por esto. Sigue los avisos de seguridad de Next.js y actualiza en cuanto una versión estable mencione CVE-2026-126187.

Aparte, el 10 de noviembre se marcaron como malware dos paquetes de npm con nombres parecidos a React: read-react-app-in y read-react-app-out. Antes de instalar un paquete desconocido, comprueba su antigüedad y su autor:

npm view <package-name> time.created maintainers repository.url

¿Sufrió Microsoft 365 una brecha? Outlook CVE-2026-124194 explicado

No. Microsoft corrigió un fallo de suplantación en Outlook que los atacantes ya explotaban. Cuando alguien abre un archivo de mensaje malicioso, Outlook se conecta a un servidor del atacante sin el aviso habitual de contenido externo y envía el hash NTLMv2 del usuario. No se activa desde el panel de vista previa. Afecta a Microsoft 365 Apps for Enterprise, Office LTSC 2021 y Office LTSC 2024. CISA lo añadió a su catálogo de vulnerabilidades explotadas con plazo hasta el 24 de noviembre para las agencias federales de EE. UU. Fue una de las 1.094 correcciones de la actualización de noviembre.

Instala las actualizaciones de noviembre de Office y Windows y reinicia. Microsoft también recomienda bloquear el tráfico SMB saliente hacia internet. Esta regla de PowerShell, ejecutada como administrador, bloquea el puerto TCP 445 solo hacia direcciones de internet, así que las carpetas compartidas de tu red local siguen funcionando:

New-NetFirewallRule -DisplayName "Block outbound SMB to internet" -Direction Outbound -Protocol TCP -RemotePort 445 -RemoteAddress Internet -Action Block

¿Por qué una clave filtrada cuesta más en 2026?

Antes, una clave API robada exponía datos. Ahora también puede gastar dinero en IA a velocidad de máquina, y cuanto más baratos y útiles son los modelos, más vale una clave filtrada para un atacante. Esta semana mi propio calendario de reservas dejó de mostrar horas porque había caducado un token OAuth de Google. Nadie lo atacó, pero una credencial olvidada dejó fuera de servicio una función que funcionaba.

Pon un límite de gasto estricto donde el proveedor lo permita, por ejemplo un límite mensual en el espacio de trabajo de Anthropic Console que contiene la clave. Un presupuesto de Google Cloud envía alertas al superar un umbral; por sí solo no detiene el gasto.

La lista de 20 minutos

1. Actualiza react-server-dom-* a 19.0.9, 19.1.10, 19.2.9 o 19.3.1, y revisa la copia incluida en Next.js.
2. Si usas Railway, rota cada secreto en el orden anterior, primero las claves de IA.
3. Pon un límite de gasto en cada clave API de IA.
4. Instala las actualizaciones de noviembre de Office y Windows y añade la regla de SMB.
5. Lee dos veces el nombre de cada paquete npm nuevo y comprueba su antigüedad.
6. Busca secretos subidos al repositorio, por ejemplo con gitleaks git -v, y anota dónde está cada secreto y cuándo caduca.

Preguntas frecuentes

¿Afecta CVE-2026-126187 a Next.js?

Next.js incluye el runtime de servidor de React y, a 12 de noviembre, su última versión estable, 16.4.6, trae un canary de React 19.3.0 anterior a la corrección. Next.js todavía no ha publicado aviso, así que trata los sitios con App Router como expuestos hasta que una versión estable mencione el CVE.

¿Qué es más barato, Claude Fable 5.2 o Gemini 4 Carbon?

Por token, Gemini 4 Carbon cuesta la mitad según el informe: 4 $ y 20 $ por millón frente a 8 $ y 40 $ de Fable 5.2. El coste por tarea depende de cuántos tokens necesita cada modelo, así que prueba los dos con tus propios prompts.

Fuentes

• The Next Web: lanzamiento y precio de Claude Fable 5.2
• Jetstream: lanzamiento de Gemini 4 Carbon
• BleepingComputer: brecha de Railway
• Aviso de GitHub GHSA-xqc2-xf4c-x3h3
• SecurityWeek: día cero de Outlook

¿Quieres crear algo rápido y seguro?

Soy Zubair Hussain, desarrollador web, editor de vídeo y diseñador en Hyderabad, Pakistán. Creo sitios con Next.js, apps con React Native y chatbots de IA para clientes de todo el mundo, con actualizaciones de seguridad y límites de gasto desde el primer día. Mira mis servicios de desarrollo web o reserva una llamada gratuita de 30 minutos.