All Articles
8 min

Claude Fable 5.2 против Gemini 4 Carbon и исправления для Railway, React и Outlook

ИИБезопасностьNext.jsReact

В этом видео я задаю Claude Fable, Gemini и ChatGPT один вопрос: может ли ИИ создать игру в стиле Call of Duty? Ниже разобраны цены и новости безопасности той же недели. Факты проверены 12 ноября 2026 года.

Коротко: Claude Fable 5.2 (вышел 9 ноября) стоит 8 $ за миллион входных токенов и 40 $ за миллион выходных, вместо прежних 10 $ и 50 $. По данным одного отчёта, Gemini 4 Carbon (вышел 10 ноября) будет стоить 4 $ и 20 $ после окончания стартовых цен 30 ноября. За те же 72 часа Railway сообщила, что украденные секреты клиентов оплатили использование ИИ примерно на 740 000 $, React раскрыл критическую уязвимость в Server Components (CVE-2026-126187), а Microsoft исправила уже эксплуатируемую ошибку Outlook (CVE-2026-124194). Если вы используете React Server Components, Next.js, Railway или Outlook, на этой неделе вам есть что обновить или заменить.

Сколько стоят Claude Fable 5.2 и Gemini 4 Carbon?

МодельВыпускВход за 1M токеновВыход за 1M токеновКому доступна
Claude Fable 5.1Ранее в 202610 $50 $Заменена версией 5.2
Claude Fable 5.29 ноября 20268 $40 $Всем: Anthropic, AWS, Google Cloud и Azure
Claude Mythos 5.29 ноября 2026Не опубликованоНе опубликованоТолько программы верификации Life Sciences и Cyber
Gemini 4 Carbon10 ноября 20264 $ (по отчёту)20 $ (по отчёту)Разработчикам, компаниям и пользователям
PRICE PER 1 MILLION TOKENS (USD)AI got cheaper this weekinputoutputClaude Fable 5.1previous version$10$50Claude Fable 5.2released 9 Nov 2026$8$40Gemini 4 Carbonafter 30 Nov, per one report$4$20zubairhussain.xyzZubair Hussain · Nov 2026

Anthropic утверждает, что Fable 5.2 отвечает до 30 % быстрее версии 5.1 и решил две открытые задачи физики чёрных дыр. Это заявления компании, независимой проверки пока нет. Gemini 4 Carbon стоит выше Gemini 4 Argon, выпущенного 13 октября. Цена Carbon взята из одного отчёта, поэтому сверьтесь со страницей цен Google, прежде чем закладывать её в бюджет.

Что снижение цен значит для реального приложения?

Возьмём чат-бота поддержки на 10 000 диалогов в месяц, где каждый диалог использует около 2 000 входных и 500 выходных токенов. Это 20 миллионов входных и 5 миллионов выходных токенов.

  • Claude Fable 5.1: 20 × 10 $ + 5 × 50 $ = 450 $ в месяц
  • Claude Fable 5.2: 20 × 8 $ + 5 × 40 $ = 360 $ в месяц
  • Gemini 4 Carbon: 20 × 4 $ + 5 × 20 $ = 180 $ в месяц
WORKED EXAMPLE · ONE CHATBOT, ONE MONTH10,000 chats a month2,000 input + 500 output tokens per chat = 20M input, 5M output$450/moFable 5.1$360/moFable 5.2$180/moGemini 4 Carbonzubairhussain.xyzZubair Hussain · Nov 2026

Цена за токен определяет только половину счёта. Модель, которой нужно меньше повторов, короче промпт или меньше вывода, может обходиться дешевле за задачу даже при более высокой цене токена. Прогоните свои промпты через обе модели, прежде чем переходить.

Что произошло в Railway и какие ключи менять?

22 октября Railway попросила клиентов заменить секреты. 10 ноября компания сообщила, что злоумышленники использовали уязвимости инфраструктуры, украли секреты аутентификации клиентов и потратили с их помощью около 740 000 $ на мошенническое использование ИИ. Под угрозой могут быть учётные данные до 100 000 рабочих пространств. По словам Railway, признаков доступа к Git-репозиториям и базам данных клиентов не найдено. Новые регистрации приостановлены.

RAILWAY BREACH · UPDATE OF 10 NOVEMBER 2026The AI bill nobody orderedCLOUD USAGE RECEIPTAI usage$740,000Output tokens18.5 billion(at $40 per million)Workspaces at riskup to 100,000NOT ORDERED BY YOU22 Oct: Railway tells customersto rotate their secrets.10 Nov: attackers used stolenauth secrets for AI usage.No evidence that Git repos ordatabases were accessed.zubairhussain.xyzZubair Hussain · Nov 2026

Для масштаба: по цене вывода Fable 5.2, 40 $ за миллион токенов, на 740 000 $ можно получить 18,5 млрд выходных токенов. Меняйте ключи в таком порядке, чтобы приложение не упало:

  1. Создайте новый ключ у провайдера (Anthropic, Google, OpenAI, Stripe и т. д.).
  2. Замените значение в переменных сервиса Railway.
  3. Сделайте повторный деплой и убедитесь, что запросы проходят с новым ключом.
  4. Отзовите старый ключ у провайдера.
  5. Проверьте журнал использования с 22 октября и сообщите о незнакомых расходах.

Взломали ли React? Разбор CVE-2026-126187

Нет. React раскрыл и исправил критическую уязвимость. CVE-2026-126187 (GHSA-xqc2-xf4c-x3h3, опубликовано 10 ноября) позволяет выполнить код на сервере без аутентификации через React Server Components. Один источник оценивает её в 9,5, другой в 10,0; сообщений об эксплуатации нет. Затронуты пакеты react-server-dom-webpack, react-server-dom-turbopack и react-server-dom-parcel. Исправленные версии: 19.0.9, 19.1.10, 19.2.9 и 19.3.1.

CVE-2026-126187 · GHSA-XQC2-XF4C-X3H3 · CRITICALReact Server Components: remote code executionAffected packagesreact-server-dom-webpackreact-server-dom-turbopackreact-server-dom-parcelNo login needed. CVSS 9.5 to 10.No known exploitation yet.Upgrade to19.0.xto19.0.919.1.xto19.1.1019.2.xto19.2.919.3.xto19.3.1Next.js 16.4.6 still bundles 19.3.0-canaryzubairhussain.xyzZubair Hussain · Nov 2026

Сначала проверьте прямые зависимости:

npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

Если вы используете Next.js, команда может ничего не вывести, и это ещё не значит, что вы в безопасности. Next.js компилирует собственную копию серверного рантайма React внутрь пакета next, поэтому этот код не попадает в дерево зависимостей и npm audit его не видит. Прочитайте встроенную версию напрямую:

grep -o "19\.[0-9]*\.[0-9]*-canary-[a-z0-9-]*" node_modules/next/dist/compiled/react/cjs/react.production.js | head -1

На 12 ноября Next.js 16.4.5 и последняя стабильная версия 16.4.6 содержат React 19.3.0-canary-278794d7-20261002. Эта сборка от 2 октября, то есть до исправления, а собственного бюллетеня по этому CVE Next.js ещё не выпустил. Сборка 16.5.0-canary.48 от 11 ноября переходит на более новый canary React, но подтвердить наличие исправления я не смог, поэтому не стал бы ставить canary в продакшен ради этого. Следите за бюллетенями безопасности Next.js и обновитесь, как только стабильный релиз упомянет CVE-2026-126187.

Отдельно: 10 ноября два npm-пакета с похожими на React названиями, read-react-app-in и read-react-app-out, были помечены как вредоносные. Перед установкой незнакомого пакета проверьте его возраст и владельца:

npm view <package-name> time.created maintainers repository.url

Взломали ли Microsoft 365? Разбор Outlook CVE-2026-124194

Нет. Microsoft исправила ошибку подмены в Outlook, которую злоумышленники уже использовали. Когда пользователь открывает вредоносный файл сообщения, Outlook без обычного предупреждения о внешнем содержимом подключается к серверу атакующего и отправляет NTLMv2-хеш пользователя. Через область предпросмотра ошибка не срабатывает. Затронуты Microsoft 365 Apps for Enterprise, Office LTSC 2021 и Office LTSC 2024. CISA внесло её в каталог эксплуатируемых уязвимостей со сроком до 24 ноября для федеральных ведомств США. Это одно из 1 094 исправлений ноябрьского обновления.

CVE-2026-124194 · EXPLOITED · PATCHED NOVEMBER 2026How one opened file leaks your login hash1Maliciousmessage file opened2Outlook connectswith no warning3Attacker servergets the request4NTLMv2 hashis leakedFix: install the November Office and Windows updates, then restart.Also block outbound SMB (TCP 445) to the internet. CISA deadline: 24 Nov.zubairhussain.xyzZubair Hussain · Nov 2026

Установите ноябрьские обновления Office и Windows и перезагрузитесь. Microsoft также советует блокировать исходящий SMB в интернет. Это правило PowerShell (запуск от администратора) блокирует TCP 445 только к интернет-адресам, поэтому общие папки в локальной сети продолжат работать:

New-NetFirewallRule -DisplayName "Block outbound SMB to internet" -Direction Outbound -Protocol TCP -RemotePort 445 -RemoteAddress Internet -Action Block

Почему утёкший ключ в 2026 году стоит дороже?

Раньше украденный API-ключ открывал доступ к данным. Теперь с его помощью можно ещё и тратить деньги на ИИ со скоростью машины, и чем дешевле и полезнее модели, тем ценнее утёкший ключ для атакующего. На этой неделе мой собственный календарь бронирования перестал показывать время, потому что истёк один OAuth-токен Google. Никто не атаковал, но одна забытая учётная запись остановила рабочую функцию.

THREAT MODELWhat one leaked API key unlocksYour dataYour AI billYour deploysYour clientszubairhussain.xyzZubair Hussain · Nov 2026

Установите жёсткий лимит расходов везде, где провайдер это позволяет, например месячный лимит для рабочего пространства Anthropic Console, где хранится ключ. Бюджет в Google Cloud отправляет оповещения при превышении порога, но сам по себе расходы не останавливает.

Чек-лист на 20 минут

20 MINUTES, TODAYThe security checklist for this weekCheck react-server-dom-*versions and upgradeRotate every Railway secret,AI provider keys firstSet a spending limit onevery AI API keyInstall the November Officeand Windows updatesRead new npm packagenames twiceWrite down where each secretlives and when it expireszubairhussain.xyzZubair Hussain · Nov 2026
  1. Обновите react-server-dom-* до 19.0.9, 19.1.10, 19.2.9 или 19.3.1 и проверьте копию внутри Next.js.
  2. Если вы на Railway, замените все секреты в порядке выше, начиная с ключей ИИ.
  3. Установите лимит расходов на каждый API-ключ ИИ.
  4. Установите ноябрьские обновления Office и Windows и добавьте правило для SMB.
  5. Дважды читайте названия новых npm-пакетов и проверяйте их возраст.
  6. Просканируйте репозиторий на закоммиченные секреты, например командой gitleaks git -v, и запишите, где хранится каждый секрет и когда он истекает.

Частые вопросы

Затрагивает ли CVE-2026-126187 Next.js?

Next.js встраивает серверный рантайм React, и на 12 ноября последняя стабильная версия 16.4.6 содержит canary React 19.3.0, выпущенный до исправления. Бюллетеня от Next.js пока нет, поэтому считайте сайты на App Router уязвимыми, пока стабильный релиз не упомянет этот CVE.

Что дешевле: Claude Fable 5.2 или Gemini 4 Carbon?

За токен Gemini 4 Carbon, по данным отчёта, вдвое дешевле: 4 $ и 20 $ за миллион против 8 $ и 40 $ у Fable 5.2. Стоимость одной задачи зависит от того, сколько токенов нужно каждой модели, поэтому проверьте обе на своих промптах.

Источники

Хотите создать что-то быстрое и безопасное?

Я Зубайр Хуссейн, веб-разработчик, видеомонтажёр и дизайнер из Хайдарабада, Пакистан. Я делаю сайты на Next.js, приложения на React Native и ИИ-чат-ботов для клиентов по всему миру, с обновлениями безопасности и лимитами расходов с первого дня. Посмотрите мои услуги веб-разработки или запишитесь на бесплатный 30-минутный звонок.

View original on Blogger