All Articles
9 min

Claude Fable 5.2 बनाम Gemini 4 Carbon, और Railway, React व Outlook के सिक्योरिटी फिक्स

AIसिक्योरिटीNext.jsReact

इस वीडियो में मैंने Claude Fable, Gemini और ChatGPT से एक सवाल पूछा: क्या AI, Call of Duty जैसा गेम बना सकता है? नीचे उसी हफ्ते की कीमतों और सिक्योरिटी खबरों की पूरी जानकारी है। तथ्य 12 नवंबर 2026 को जांचे गए।

छोटा जवाब: Claude Fable 5.2 (9 नवंबर को जारी) की कीमत 8 डॉलर प्रति मिलियन इनपुट टोकन और 40 डॉलर प्रति मिलियन आउटपुट टोकन है, जो पहले 10 और 50 डॉलर थी। एक रिपोर्ट के अनुसार Gemini 4 Carbon (10 नवंबर को जारी) की कीमत 30 नवंबर के बाद 4 और 20 डॉलर होगी। इन्हीं 72 घंटों में Railway ने बताया कि चोरी हुए कस्टमर सीक्रेट्स से करीब 740,000 डॉलर का AI इस्तेमाल हुआ, React ने Server Components में एक गंभीर खामी (CVE-2026-126187) बताई, और Microsoft ने Outlook की एक खामी (CVE-2026-124194) ठीक की जिसका हमलावर पहले से इस्तेमाल कर रहे थे। अगर आप React Server Components, Next.js, Railway या Outlook इस्तेमाल करते हैं, तो इस हफ्ते आपको कुछ पैच या बदलना है।

Claude Fable 5.2 और Gemini 4 Carbon की कीमत कितनी है?

मॉडलरिलीज़इनपुट प्रति 1M टोकनआउटपुट प्रति 1M टोकनकौन इस्तेमाल कर सकता है
Claude Fable 5.12026 में पहले$10$505.2 ने जगह ली
Claude Fable 5.29 नवंबर 2026$8$40सभी के लिए: Anthropic, AWS, Google Cloud और Azure
Claude Mythos 5.29 नवंबर 2026सार्वजनिक नहींसार्वजनिक नहींसिर्फ Life Sciences और Cyber वेरिफिकेशन प्रोग्राम
Gemini 4 Carbon10 नवंबर 2026$4 (रिपोर्ट)$20 (रिपोर्ट)डेवलपर, कंपनियां और आम यूज़र
PRICE PER 1 MILLION TOKENS (USD)AI got cheaper this weekinputoutputClaude Fable 5.1previous version$10$50Claude Fable 5.2released 9 Nov 2026$8$40Gemini 4 Carbonafter 30 Nov, per one report$4$20zubairhussain.xyzZubair Hussain · Nov 2026

Anthropic का कहना है कि Fable 5.2, वर्ज़न 5.1 से 30% तक तेज़ जवाब देता है और इसने ब्लैक होल फिज़िक्स की दो खुली समस्याएं हल की हैं। ये कंपनी के अपने दावे हैं, इनकी स्वतंत्र जांच अभी प्रकाशित नहीं हुई। Gemini 4 Carbon, 13 अक्टूबर को आए Gemini 4 Argon से ऊपर का मॉडल है। Carbon की कीमत एक रिपोर्ट से ली गई है, इसलिए बजट बनाने से पहले Google का प्राइसिंग पेज देख लें।

कीमत घटने से असली ऐप पर क्या फर्क पड़ता है?

मान लीजिए एक सपोर्ट चैटबॉट महीने में 10,000 बातचीत करता है, और हर बातचीत में करीब 2,000 इनपुट और 500 आउटपुट टोकन लगते हैं। यानी 2 करोड़ इनपुट और 50 लाख आउटपुट टोकन।

  • Claude Fable 5.1: हर महीने 450 डॉलर
  • Claude Fable 5.2: हर महीने 360 डॉलर
  • Gemini 4 Carbon: हर महीने 180 डॉलर
WORKED EXAMPLE · ONE CHATBOT, ONE MONTH10,000 chats a month2,000 input + 500 output tokens per chat = 20M input, 5M output$450/moFable 5.1$360/moFable 5.2$180/moGemini 4 Carbonzubairhussain.xyzZubair Hussain · Nov 2026

प्रति टोकन कीमत बिल का सिर्फ एक हिस्सा है। जो मॉडल कम रीट्राई, छोटे प्रॉम्प्ट या कम आउटपुट में काम पूरा कर दे, वह ज़्यादा प्रति टोकन कीमत के बावजूद प्रति काम सस्ता पड़ सकता है। बदलने से पहले अपने प्रॉम्प्ट दोनों मॉडल पर चलाकर देखें।

Railway में क्या हुआ, और कौन सी कीज़ बदलनी हैं?

Railway ने 22 अक्टूबर को कस्टमर्स से सीक्रेट्स बदलने को कहा। 10 नवंबर को कंपनी ने बताया कि हमलावरों ने इंफ्रास्ट्रक्चर की खामियों का फायदा उठाकर कस्टमर्स के authentication सीक्रेट्स चुराए और उनसे करीब 740,000 डॉलर का फर्ज़ी AI इस्तेमाल किया। एक लाख तक वर्कस्पेस के क्रेडेंशियल उजागर हो सकते हैं। Railway के मुताबिक कस्टमर्स की Git रिपॉज़िटरी या डेटाबेस तक पहुंच का कोई सबूत नहीं मिला। नए साइन-अप फिलहाल बंद हैं।

RAILWAY BREACH · UPDATE OF 10 NOVEMBER 2026The AI bill nobody orderedCLOUD USAGE RECEIPTAI usage$740,000Output tokens18.5 billion(at $40 per million)Workspaces at riskup to 100,000NOT ORDERED BY YOU22 Oct: Railway tells customersto rotate their secrets.10 Nov: attackers used stolenauth secrets for AI usage.No evidence that Git repos ordatabases were accessed.zubairhussain.xyzZubair Hussain · Nov 2026

अंदाज़े के लिए: Fable 5.2 की आउटपुट कीमत 40 डॉलर प्रति मिलियन टोकन पर, 740,000 डॉलर में 18.5 अरब आउटपुट टोकन आते हैं। कीज़ इस क्रम में बदलें ताकि ऐप बंद न हो:

  1. प्रोवाइडर (Anthropic, Google, OpenAI, Stripe आदि) पर नई की बनाएं।
  2. Railway सर्विस वेरिएबल्स में पुरानी वैल्यू की जगह नई लगाएं।
  3. दोबारा डिप्लॉय करें और देखें कि नई की से रिक्वेस्ट चल रही हैं।
  4. प्रोवाइडर पर पुरानी की रद्द करें।
  5. 22 अक्टूबर के बाद का यूसेज लॉग देखें और अनजान खर्च की रिपोर्ट करें।

क्या React हैक हुआ? CVE-2026-126187 की पूरी बात

नहीं। React ने एक गंभीर खामी बताई और ठीक की है। CVE-2026-126187 (GHSA-xqc2-xf4c-x3h3, 10 नवंबर को प्रकाशित) से React Server Components के ज़रिए बिना लॉग-इन सर्वर पर कोड चलाया जा सकता है। एक स्रोत ने इसे 9.5 और दूसरे ने 10.0 रेटिंग दी है, और अब तक इसके इस्तेमाल की कोई खबर नहीं है। प्रभावित पैकेज react-server-dom-webpack, react-server-dom-turbopack और react-server-dom-parcel हैं। सही वर्ज़न 19.0.9, 19.1.10, 19.2.9 और 19.3.1 हैं।

CVE-2026-126187 · GHSA-XQC2-XF4C-X3H3 · CRITICALReact Server Components: remote code executionAffected packagesreact-server-dom-webpackreact-server-dom-turbopackreact-server-dom-parcelNo login needed. CVSS 9.5 to 10.No known exploitation yet.Upgrade to19.0.xto19.0.919.1.xto19.1.1019.2.xto19.2.919.3.xto19.3.1Next.js 16.4.6 still bundles 19.3.0-canaryzubairhussain.xyzZubair Hussain · Nov 2026

पहले अपनी सीधी dependencies जांचें:

npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

अगर आप Next.js इस्तेमाल करते हैं, तो यह कमांड कुछ न दिखाए तब भी आप सुरक्षित नहीं हैं। Next.js, React के सर्वर रनटाइम की अपनी कॉपी next पैकेज के अंदर कंपाइल करता है, इसलिए यह कोड dependency tree में नहीं दिखता और npm audit इसे नहीं देख पाता। वर्ज़न सीधे पढ़ें:

grep -o "19\.[0-9]*\.[0-9]*-canary-[a-z0-9-]*" node_modules/next/dist/compiled/react/cjs/react.production.js | head -1

12 नवंबर तक Next.js 16.4.5 और ताज़ा स्टेबल रिलीज़ 16.4.6, दोनों में React 19.3.0-canary-278794d7-20261002 है। यह बिल्ड 2 अक्टूबर का है, यानी फिक्स से पहले का, और Next.js ने इस CVE पर अपनी एडवाइज़री अभी प्रकाशित नहीं की है। 11 नवंबर का 16.5.0-canary.48 नए React canary पर गया है, लेकिन मैं पुष्टि नहीं कर पाया कि उसमें फिक्स है, इसलिए मैं प्रोडक्शन में canary नहीं लगाऊंगा। Next.js की सिक्योरिटी एडवाइज़री पर नज़र रखें और जैसे ही कोई स्टेबल रिलीज़ CVE-2026-126187 का नाम ले, अपग्रेड करें।

इसके अलावा 10 नवंबर को React जैसे नाम वाले दो npm पैकेज, read-react-app-in और read-react-app-out, मैलवेयर घोषित हुए। कोई नया पैकेज इंस्टॉल करने से पहले उसकी उम्र और मालिक देखें:

npm view <package-name> time.created maintainers repository.url

क्या Microsoft 365 में ब्रीच हुआ? Outlook CVE-2026-124194 की पूरी बात

नहीं। Microsoft ने Outlook की एक spoofing खामी ठीक की है जिसका हमलावर पहले से इस्तेमाल कर रहे थे। जब कोई यूज़र एक खतरनाक मैसेज फाइल खोलता है, तो Outlook बिना सामान्य चेतावनी के हमलावर के सर्वर से जुड़ता है और यूज़र का NTLMv2 हैश भेज देता है। यह Preview Pane से ट्रिगर नहीं होता। प्रभावित प्रोडक्ट Microsoft 365 Apps for Enterprise, Office LTSC 2021 और Office LTSC 2024 हैं। CISA ने अमेरिकी संघीय एजेंसियों को 24 नवंबर तक पैच करने को कहा है। यह नवंबर अपडेट के 1,094 फिक्स में से एक था।

CVE-2026-124194 · EXPLOITED · PATCHED NOVEMBER 2026How one opened file leaks your login hash1Maliciousmessage file opened2Outlook connectswith no warning3Attacker servergets the request4NTLMv2 hashis leakedFix: install the November Office and Windows updates, then restart.Also block outbound SMB (TCP 445) to the internet. CISA deadline: 24 Nov.zubairhussain.xyzZubair Hussain · Nov 2026

नवंबर के Office और Windows अपडेट इंस्टॉल करके रीस्टार्ट करें। Microsoft इंटरनेट की ओर जाने वाला SMB ब्लॉक करने की भी सलाह देता है। यह PowerShell नियम (एडमिनिस्ट्रेटर के रूप में) सिर्फ इंटरनेट एड्रेस की ओर TCP 445 ब्लॉक करता है, लोकल नेटवर्क के फाइल शेयर चलते रहेंगे:

New-NetFirewallRule -DisplayName "Block outbound SMB to internet" -Direction Outbound -Protocol TCP -RemotePort 445 -RemoteAddress Internet -Action Block

2026 में एक लीक हुई की इतनी महंगी क्यों है?

पहले चोरी हुई API की से डेटा उजागर होता था। अब उससे मशीन की रफ्तार से AI पर पैसा भी खर्च किया जा सकता है, और मॉडल जितने सस्ते और काम के होंगे, लीक हुई की हमलावर के लिए उतनी ही कीमती होगी। इस हफ्ते मेरे अपने बुकिंग कैलेंडर ने समय दिखाना बंद कर दिया क्योंकि एक Google OAuth टोकन खत्म हो गया था। किसी ने हमला नहीं किया था, लेकिन एक भूले हुए क्रेडेंशियल ने एक चलता फीचर बंद कर दिया।

THREAT MODELWhat one leaked API key unlocksYour dataYour AI billYour deploysYour clientszubairhussain.xyzZubair Hussain · Nov 2026

जहां प्रोवाइडर अनुमति दे, वहां खर्च की सख्त सीमा लगाएं, जैसे Anthropic Console के उस वर्कस्पेस पर मासिक सीमा जिसमें की रखी है। Google Cloud का बजट सीमा पार होने पर सिर्फ अलर्ट भेजता है, अपने आप खर्च नहीं रोकता।

20 मिनट की चेकलिस्ट

20 MINUTES, TODAYThe security checklist for this weekCheck react-server-dom-*versions and upgradeRotate every Railway secret,AI provider keys firstSet a spending limit onevery AI API keyInstall the November Officeand Windows updatesRead new npm packagenames twiceWrite down where each secretlives and when it expireszubairhussain.xyzZubair Hussain · Nov 2026
  1. react-server-dom-* को 19.0.9, 19.1.10, 19.2.9 या 19.3.1 पर अपग्रेड करें और Next.js के अंदर की कॉपी भी जांचें।
  2. अगर Railway इस्तेमाल करते हैं तो ऊपर के क्रम में हर सीक्रेट बदलें, पहले AI कीज़।
  3. हर AI API की पर खर्च की सीमा लगाएं।
  4. नवंबर के Office और Windows अपडेट इंस्टॉल करें और SMB वाला नियम जोड़ें।
  5. नए npm पैकेज का नाम दो बार पढ़ें और इंस्टॉल से पहले उसकी उम्र देखें।
  6. रिपॉज़िटरी में कमिट हुए सीक्रेट्स स्कैन करें, जैसे gitleaks git -v से, और लिख लें कि हर सीक्रेट कहां है और कब खत्म होगा।

अक्सर पूछे जाने वाले सवाल

क्या Next.js पर CVE-2026-126187 का असर है?

Next.js, React का सर्वर रनटाइम साथ रखता है, और 12 नवंबर तक ताज़ा स्टेबल रिलीज़ 16.4.6 में फिक्स से पहले का React 19.3.0 canary है। जब तक कोई स्टेबल रिलीज़ इस CVE का नाम न ले, App Router साइट्स को प्रभावित मानें।

Claude Fable 5.2 और Gemini 4 Carbon में कौन सस्ता है?

प्रति टोकन, रिपोर्ट के मुताबिक Gemini 4 Carbon आधी कीमत पर है: 4 और 20 डॉलर, जबकि Fable 5.2 के 8 और 40 डॉलर। प्रति काम लागत इस पर निर्भर है कि हर मॉडल कितने टोकन लेता है, इसलिए अपने प्रॉम्प्ट पर दोनों आज़माएं।

स्रोत

कुछ तेज़ और सुरक्षित बनाना चाहते हैं?

मैं ज़ुबैर हुसैन हूं, हैदराबाद, पाकिस्तान में रहने वाला वेब डेवलपर, वीडियो एडिटर और डिज़ाइनर। मैं दुनिया भर के क्लाइंट्स के लिए Next.js वेबसाइट, React Native ऐप और AI चैटबॉट बनाता हूं, और पहले दिन से सिक्योरिटी अपडेट और खर्च की सीमाएं सेट करता हूं। मेरी वेब डेवलपमेंट सर्विसेज़ देखें या 30 मिनट की मुफ्त कॉल बुक करें।

View original on Blogger