All Articles
8 min

Claude Fable 5.2 vs. Gemini 4 Carbon und die Sicherheitsupdates für Railway, React und Outlook

KISicherheitNext.jsReact

In diesem Video stelle ich Claude Fable, Gemini und ChatGPT eine Frage: Kann KI ein Spiel im Stil von Call of Duty bauen? Der Leitfaden unten behandelt die Preise und Sicherheitsmeldungen derselben Woche. Fakten geprüft am 12. November 2026.

Kurz gesagt: Claude Fable 5.2 (erschienen am 9. November) kostet 8 $ pro Million Eingabe-Tokens und 40 $ pro Million Ausgabe-Tokens, statt bisher 10 $ und 50 $. Laut einem Bericht kostet Gemini 4 Carbon (erschienen am 10. November) nach dem Ende des Einführungspreises am 30. November 4 $ und 20 $. In denselben 72 Stunden meldete Railway, dass gestohlene Kundengeheimnisse KI-Nutzung für rund 740.000 $ bezahlt haben, React veröffentlichte eine kritische Lücke in Server Components (CVE-2026-126187), und Microsoft schloss eine bereits ausgenutzte Outlook-Lücke (CVE-2026-124194). Wer React Server Components, Next.js, Railway oder Outlook nutzt, hat diese Woche etwas zu patchen oder auszutauschen.

Was kosten Claude Fable 5.2 und Gemini 4 Carbon?

ModellErschienenEingabe pro 1 Mio. TokensAusgabe pro 1 Mio. TokensVerfügbar für
Claude Fable 5.1Früher in 202610 $50 $Durch 5.2 ersetzt
Claude Fable 5.29. Nov. 20268 $40 $Alle, über Anthropic, AWS, Google Cloud und Azure
Claude Mythos 5.29. Nov. 2026Nicht öffentlichNicht öffentlichNur Verifizierungsprogramme Life Sciences und Cyber
Gemini 4 Carbon10. Nov. 20264 $ (laut Bericht)20 $ (laut Bericht)Entwickler, Unternehmen und Nutzer
PRICE PER 1 MILLION TOKENS (USD)AI got cheaper this weekinputoutputClaude Fable 5.1previous version$10$50Claude Fable 5.2released 9 Nov 2026$8$40Gemini 4 Carbonafter 30 Nov, per one report$4$20zubairhussain.xyzZubair Hussain · Nov 2026

Anthropic gibt an, dass Fable 5.2 bis zu 30 % schneller antwortet als 5.1 und zwei offene Probleme der Physik Schwarzer Löcher gelöst hat. Das sind Angaben des Unternehmens, eine unabhängige Prüfung ist noch nicht veröffentlicht. Gemini 4 Carbon liegt über Gemini 4 Argon, das am 13. Oktober erschien. Der Carbon-Preis stammt aus einem einzelnen Bericht; prüfen Sie ihn auf Googles Preisseite, bevor Sie damit planen.

Was bedeutet die Preissenkung für eine echte Anwendung?

Nehmen wir einen Support-Chatbot mit 10.000 Gesprächen pro Monat, jedes mit etwa 2.000 Eingabe- und 500 Ausgabe-Tokens. Das sind 20 Millionen Eingabe- und 5 Millionen Ausgabe-Tokens.

  • Claude Fable 5.1: 20 × 10 $ + 5 × 50 $ = 450 $ pro Monat
  • Claude Fable 5.2: 20 × 8 $ + 5 × 40 $ = 360 $ pro Monat
  • Gemini 4 Carbon: 20 × 4 $ + 5 × 20 $ = 180 $ pro Monat
WORKED EXAMPLE · ONE CHATBOT, ONE MONTH10,000 chats a month2,000 input + 500 output tokens per chat = 20M input, 5M output$450/moFable 5.1$360/moFable 5.2$180/moGemini 4 Carbonzubairhussain.xyzZubair Hussain · Nov 2026

Der Preis pro Token ist nur die halbe Rechnung. Ein Modell, das weniger Wiederholungen, kürzere Prompts oder weniger Ausgabe braucht, kann pro Aufgabe günstiger sein, auch wenn sein Token mehr kostet. Testen Sie Ihre eigenen Prompts mit beiden Modellen, bevor Sie wechseln.

Was ist bei Railway passiert, und was müssen Sie austauschen?

Railway bat Kunden am 22. Oktober, ihre Geheimnisse auszutauschen. Am 10. November erklärte das Unternehmen, Angreifer hätten Schwachstellen der Infrastruktur ausgenutzt, Authentifizierungsgeheimnisse von Kunden gestohlen und damit betrügerische KI-Nutzung für rund 740.000 $ verursacht. Zugangsdaten von bis zu 100.000 Workspaces könnten offengelegt sein. Railway fand nach eigenen Angaben keine Hinweise auf Zugriffe auf Git-Repositorys oder Datenbanken von Kunden. Neue Registrierungen sind pausiert.

RAILWAY BREACH · UPDATE OF 10 NOVEMBER 2026The AI bill nobody orderedCLOUD USAGE RECEIPTAI usage$740,000Output tokens18.5 billion(at $40 per million)Workspaces at riskup to 100,000NOT ORDERED BY YOU22 Oct: Railway tells customersto rotate their secrets.10 Nov: attackers used stolenauth secrets for AI usage.No evidence that Git repos ordatabases were accessed.zubairhussain.xyzZubair Hussain · Nov 2026

Zur Einordnung: Zum Ausgabepreis von Fable 5.2, 40 $ pro Million Tokens, kaufen 740.000 $ 18,5 Milliarden Ausgabe-Tokens. Tauschen Sie Schlüssel in dieser Reihenfolge aus, damit Ihre Anwendung online bleibt:

  1. Erstellen Sie beim Anbieter einen neuen Schlüssel (Anthropic, Google, OpenAI, Stripe usw.).
  2. Ersetzen Sie den Wert in den Variablen des Railway-Dienstes.
  3. Deployen Sie neu und prüfen Sie, ob Anfragen mit dem neuen Schlüssel funktionieren.
  4. Widerrufen Sie den alten Schlüssel beim Anbieter.
  5. Prüfen Sie das Nutzungsprotokoll ab dem 22. Oktober und melden Sie unbekannte Kosten.

Wurde React gehackt? CVE-2026-126187 erklärt

Nein. React hat eine kritische Lücke veröffentlicht und behoben. CVE-2026-126187 (GHSA-xqc2-xf4c-x3h3, veröffentlicht am 10. November) erlaubt über React Server Components die Ausführung von Code auf dem Server ohne Anmeldung. Eine Quelle bewertet sie mit 9,5, eine andere mit 10,0; Ausnutzungen sind nicht bekannt. Betroffen sind react-server-dom-webpack, react-server-dom-turbopack und react-server-dom-parcel. Behobene Versionen sind 19.0.9, 19.1.10, 19.2.9 und 19.3.1.

CVE-2026-126187 · GHSA-XQC2-XF4C-X3H3 · CRITICALReact Server Components: remote code executionAffected packagesreact-server-dom-webpackreact-server-dom-turbopackreact-server-dom-parcelNo login needed. CVSS 9.5 to 10.No known exploitation yet.Upgrade to19.0.xto19.0.919.1.xto19.1.1019.2.xto19.2.919.3.xto19.3.1Next.js 16.4.6 still bundles 19.3.0-canaryzubairhussain.xyzZubair Hussain · Nov 2026

Prüfen Sie zuerst Ihre direkten Abhängigkeiten:

npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

Wenn Sie Next.js nutzen, kann dieser Befehl nichts ausgeben, und Sie sind trotzdem nicht sicher. Next.js kompiliert eine eigene Kopie der React-Serverlaufzeit in das Paket next, daher taucht der Code nicht in Ihrem Abhängigkeitsbaum auf und npm audit sieht ihn nicht. Lesen Sie die eingebaute Version direkt aus:

grep -o "19\.[0-9]*\.[0-9]*-canary-[a-z0-9-]*" node_modules/next/dist/compiled/react/cjs/react.production.js | head -1

Stand 12. November enthalten Next.js 16.4.5 und die aktuelle stabile Version 16.4.6 beide React 19.3.0-canary-278794d7-20261002. Dieser Build stammt vom 2. Oktober, also vor dem Fix, und Next.js hat noch kein eigenes Advisory zu diesem CVE veröffentlicht. Der Build 16.5.0-canary.48 vom 11. November wechselt zu einem neueren React-Canary, aber ich konnte nicht bestätigen, dass er den Fix enthält, deshalb würde ich dafür keinen Canary in Produktion bringen. Beobachten Sie die Next.js-Sicherheitshinweise und aktualisieren Sie, sobald ein stabiles Release CVE-2026-126187 nennt.

Außerdem wurden am 10. November zwei npm-Pakete mit React-ähnlichen Namen, read-react-app-in und read-react-app-out, als Schadsoftware markiert. Prüfen Sie vor der Installation eines unbekannten Pakets Alter und Besitzer:

npm view <package-name> time.created maintainers repository.url

Wurde Microsoft 365 kompromittiert? Outlook CVE-2026-124194 erklärt

Nein. Microsoft hat eine Spoofing-Lücke in Outlook geschlossen, die Angreifer bereits ausnutzten. Öffnet jemand eine bösartige Nachrichtendatei, verbindet sich Outlook ohne die übliche Warnung vor externen Inhalten mit einem Server des Angreifers und sendet den NTLMv2-Hash des Nutzers. Über den Lesebereich wird die Lücke nicht ausgelöst. Betroffen sind Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024. Die CISA nahm sie in ihren Katalog ausgenutzter Schwachstellen auf, mit Frist bis 24. November für US-Bundesbehörden. Sie war einer von 1.094 Fixes im November-Update.

CVE-2026-124194 · EXPLOITED · PATCHED NOVEMBER 2026How one opened file leaks your login hash1Maliciousmessage file opened2Outlook connectswith no warning3Attacker servergets the request4NTLMv2 hashis leakedFix: install the November Office and Windows updates, then restart.Also block outbound SMB (TCP 445) to the internet. CISA deadline: 24 Nov.zubairhussain.xyzZubair Hussain · Nov 2026

Installieren Sie die November-Updates für Office und Windows und starten Sie neu. Microsoft empfiehlt zusätzlich, ausgehendes SMB ins Internet zu blockieren. Diese PowerShell-Regel, als Administrator ausgeführt, blockiert TCP 445 nur zu Internetadressen, damit Dateifreigaben im lokalen Netz weiter funktionieren:

New-NetFirewallRule -DisplayName "Block outbound SMB to internet" -Direction Outbound -Protocol TCP -RemotePort 445 -RemoteAddress Internet -Action Block

Warum kostet ein geleakter Schlüssel 2026 mehr?

Früher legte ein gestohlener API-Schlüssel Daten offen. Heute kann er auch in Maschinengeschwindigkeit Geld für KI ausgeben, und je günstiger und nützlicher die Modelle werden, desto mehr ist ein geleakter Schlüssel für Angreifer wert. Diese Woche zeigte mein eigener Buchungskalender keine Termine mehr an, weil ein Google-OAuth-Token abgelaufen war. Niemand hatte angegriffen, aber ein vergessener Zugang legte eine funktionierende Funktion lahm.

THREAT MODELWhat one leaked API key unlocksYour dataYour AI billYour deploysYour clientszubairhussain.xyzZubair Hussain · Nov 2026

Setzen Sie ein festes Ausgabenlimit, wo der Anbieter es erlaubt, zum Beispiel ein Monatslimit für den Anthropic-Console-Workspace mit dem Schlüssel. Ein Google-Cloud-Budget sendet Warnungen, wenn ein Schwellenwert überschritten wird; allein stoppt es die Ausgaben nicht.

Die 20-Minuten-Checkliste

20 MINUTES, TODAYThe security checklist for this weekCheck react-server-dom-*versions and upgradeRotate every Railway secret,AI provider keys firstSet a spending limit onevery AI API keyInstall the November Officeand Windows updatesRead new npm packagenames twiceWrite down where each secretlives and when it expireszubairhussain.xyzZubair Hussain · Nov 2026
  1. Aktualisieren Sie react-server-dom-* auf 19.0.9, 19.1.10, 19.2.9 oder 19.3.1 und prüfen Sie die Kopie in Next.js.
  2. Wenn Sie Railway nutzen, tauschen Sie jedes Geheimnis in der Reihenfolge oben aus, KI-Schlüssel zuerst.
  3. Setzen Sie für jeden KI-API-Schlüssel ein Ausgabenlimit.
  4. Installieren Sie die November-Updates für Office und Windows und ergänzen Sie die SMB-Regel.
  5. Lesen Sie neue npm-Paketnamen zweimal und prüfen Sie ihr Alter vor der Installation.
  6. Durchsuchen Sie Ihr Repository nach eingecheckten Geheimnissen, etwa mit gitleaks git -v, und notieren Sie, wo jedes Geheimnis liegt und wann es abläuft.

Häufige Fragen

Ist Next.js von CVE-2026-126187 betroffen?

Next.js bündelt die React-Serverlaufzeit, und Stand 12. November enthält die aktuelle stabile Version 16.4.6 einen React-19.3.0-Canary von vor dem Fix. Next.js hat noch kein Advisory veröffentlicht, behandeln Sie App-Router-Seiten daher als betroffen, bis ein stabiles Release den CVE nennt.

Was ist günstiger, Claude Fable 5.2 oder Gemini 4 Carbon?

Pro Token kostet Gemini 4 Carbon laut Bericht die Hälfte: 4 $ und 20 $ pro Million gegenüber 8 $ und 40 $ bei Fable 5.2. Die Kosten pro Aufgabe hängen davon ab, wie viele Tokens jedes Modell braucht, testen Sie also beide mit Ihren eigenen Prompts.

Quellen

Möchten Sie etwas Schnelles und Sicheres bauen?

Ich bin Zubair Hussain, Webentwickler, Videoeditor und Designer aus Hyderabad, Pakistan. Ich baue Websites mit Next.js, Apps mit React Native und KI-Chatbots für Kunden weltweit, mit Sicherheitsupdates und Ausgabenlimits vom ersten Tag an. Sehen Sie sich meine Webentwicklungs-Leistungen an oder buchen Sie ein kostenloses 30-Minuten-Gespräch.

View original on Blogger