Klager, som engelsktalende udviklere postede offentligt mellem 2. og 4. november 2026, gengivet med egne ord nedenfor med links til de oprindelige opslag. Hvert svar bruger kun det, som PoYos offentlige websted og dokumentation siger i dag, og linker til siden, det stammer fra. Hvor dokumentationen ikke dækker noget, siger vi det.

Q1. LLMjacking: stjålne nøgler, $100k på én dag, op til ca. $1M, før nogen tilbagekaldte dem.

Hvad udviklerne klager over: Omtalen af LLMjacking fra Google Threat Intelligence / Mandiant dominerede de engelske feeds – angribere stjæler cloud-tokens og LLM API-nøgler, videresælger adgangen og efterlader ofrene med svigagtige betalinger på over $100.000 på én dag og op til omkring $1M, før adgangen bliver lukket (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Reddit-tråde om OpenRouter- og Claude-nøgler gentager den samme fejlmåde: det er ikke altid nok at deaktivere; slet/roter, og bløde budgetadvarsler stopper ikke forbruget (r/openrouter, r/AI_Agents).

Sådan svarer PoYo: Behandl hver PoYo-nøgle som kontanter på din server – Getting Started siger, at du aldrig må lægge nøgler i frontend-kode, mobilapps eller offentlige repos. Dokumenterede kontroller, der begrænser skadernes rækkevidde, på API-nøglesiden:

1. Tilbagekald / roter kompromitterede nøgler med det samme (slet dem, og stil dig ikke tilfreds med blot at »sætte på pause« i tankerne).
2. Aktivér en IP-hvidliste, så en kopieret nøgle kun virker fra godkendte server-IP'er.
3. Sæt timevise / daglige / samlede forbrugsgrænser pr. nøgle, så en hemmelighed, der ligger og flyder, har et loft.
4. Send X-End-User-ID ved generering og native chat, så du kan blokere en enkelt misbrugende kalder med 403 end_user_blocked, uden at du skal rotere alle integrationer (End-user identification).
5. Hold øje med GET /api/user/balance, og stop ved 402 insufficient_credits_error (user balance, error codes).

Der afregnes med forudbetalte kreditter pr. vellykket output; mislykkede genereringsopgaver afregnes ikke (forside, llms.txt). Den offentlige dokumentation lover ikke refundering for forbrug med en lækket nøgle. Kontakt [email protected], hvis du mener, at en PoYo-nøgle er blevet misbrugt (Getting Started).

Q2. Læg en falsk OpenAI-kompatibel nøgle i et offentligt repo – den blev samlet op på under to timer.

Hvad udviklerne klager over: Et honeypot-eksperiment: en falsk OpenAI-kompatibel API-nøgle, der var sået i offentlige repos, blev brugt på under to timer og efterfulgt af opregning af modeller og testprompts for at kontrollere, hvad endpointet rent faktisk leverede (@polydaic). I samme uge blev udviklere ved med at gentage, at nøgler i klientbundles eller gammel git-historik stadig er aktive, indtil du sletter dem.

Sådan svarer PoYo: Hold kun PoYo-nøgler på serversiden (Getting Started). Gå ud fra, at alt, der nogensinde har været i et offentligt commit, er brændt:

1. Roter nøglen på API-nøglesiden; udsted en ny til den rigtige backend.
2. Lås erstatningen med IP-hvidliste + timevise / daglige / samlede grænser pr. nøgle.
3. Kræv X-End-User-ID for multi-tenant-proxyer, og bloker misbrugere med 403, uden at du roterer hele nøglen (End-user identification).
4. Opsæt alarmer på fald i GET /api/user/balance, og behandl 402 som et hårdt stop (user balance, error codes).

PoYo dokumenterer ikke et »honeypot-nøgle«-produkt eller automatisk scanning af dine hemmeligheder på GitHub – det bliver hos dig. Mislykkede genereringsopgaver afregnes stadig ikke (llms.txt).

Q3. Forsyningskæder à la GhostAction: MCP-konfigurationer og tokens til AI-platforme i skadernes rækkevidde.

Hvad udviklerne klager over: Sikkerhedsopslag beskrev kompromitteringer af GitHub-forsyningskæder i stil med GhostAction (hundredvis af konti/repos), der målrettet jagter MCP-konfigurationer, tokens til AI-platforme og SSH-nøgler (@morphisec). Beslægtede opslag advarede om, at når først et panel eller en agentvært er kapret, følger plantede SSH-nøgler og stjålne API-legitimationsoplysninger efter (@PacketReport1).

Sådan svarer PoYo: En PoYo-nøgle i en MCP-konfiguration, på en agentvært eller i en CI-hemmelighed er stadig en forudbetalt pung. Dokumenterede afhjælpninger:

• Commit aldrig nøgler; hold dem ude af frontend og offentlige repos (Getting Started).
• Brug separate nøgler pr. miljø med IP-hvidliste og timevise / daglige / samlede grænser (API-nøgleside).
• Foretræk PoYos hostede MCP med en nøgle, du selv kontrollerer og kan rotere (Connect with MCP, Authentication).
• Ved mistanke: roter, stram grænser/IP, tjek GET /api/user/balance, og kontakt [email protected], hvis det er nødvendigt.

Den offentlige dokumentation hævder ikke automatisk registrering af kompromitterede GitHub Actions eller MCP-værter og lover ikke refundering for trafik, der brugte en nøgle, som stadig var gyldig.

Q4. Hjemmelavet »llm-key-rotator«: når én nøgle giver 429, så skift til den næste.

Hvad udviklerne klager over: Open source- og tip-opslag skubbede små gateways, der roterer API-nøgler, når én rammer sin hastighedsgrænse (@jojeangsaing). Snak om drift i nærheden behandlede RPM-lofter pr. nøgle og 429 i delte puljer som noget, man dækker over med flere nøgler i stedet for at rette det på produktniveau.

Sådan svarer PoYo: At rotere nøgler uden om en 429 kan skjule det forkerte problem. Hos PoYo skal du holde koderne adskilt (error codes):

Standard for generering: op til 20 nye /api/generate/submit-anmodninger pr. 10 sekunder pr. konto; overskridelse giver 429 og kommer ikke i kø. LLM-endpoints har i øjeblikket ingen hastighedsgrænse (Getting Started). Foretræk én nøgle med dokumenterede grænser frem for en rotator-farm (API-nøgleside). Dokumentationen beskriver ingen automatisk failover på tværs af laboratorier – skift model-ID i din klient, hvis du skal bruge en anden udbyder. Mislykkede genereringsopgaver afregnes ikke (llms.txt).

Q5. Samme genopbygningsvindue: Gemini 503 upstream, DeepSeek 429, gratisniveau også 429.

Hvad udviklerne klager over: En genopbygningslog opregnede konkrete fejl i ét vindue – gemini-4-barium → 503 / upstream utilgængelig efter backoff, deepseek-v4-flash → 429 og en gratis DeepSeek-rute, der også gav 429 – derefter ét enkelt genforsøg efter afkøling, før det, der stadig virkede, blev sendt ud (@KeyoAPI). 429-fejl ved udbrud af Gemini-billeder/TTS er fortsat et fast tema på Reddit for kreditniveauer / preview-kvoter (r/googlecloud, r/Bard).

Sådan svarer PoYo: Knyt genforsøg til de dokumenterede koder (error codes):

• 429 → læg i kø / eksponentiel backoff (generering: 20 anm. / 10 s som standard; LLM har i øjeblikket ingen hastighedsgrænse) (Getting Started).
• 402 → fyld kreditter op; behandl det aldrig som en hastighedsgrænse (user balance).
• 502 / 503 → forbigående upstream-fejl / optaget; backoff og prøv igen.

Én PoYo-nøgle dækker chat (OpenAI-kompatibel / Claude Messages / Gemini-native) plus asynkron indsendelse/status for medier (llms.txt, API-overblik). Aktuelle modelskemaer og priser: https://poyo.ai/models/<id>/llms.txt. Foretræk webhooks frem for aggressiv polling ved lange jobs. Dokumentationen hævder ikke gennemsigtig failover mellem flere laboratorier eller en offentliggjort SLA for en delt gratispulje – Getting Started oplyser, at stabiliteten kan være en smule lavere end hos de officielle udbydere.

Q6. Claude-cacheregnskab: dashboardet viser nul cache-læsninger, mens du betaler 1,25× for hver cache-skrivning.

Hvad udviklerne klager over: Tråde om afregning i Claude API advarede om, at en forkert placeret cache_control kan give nul cache-læsninger, mens hver skrivning afregnes med en multiplikator på 1,25× – så »jeg har slået caching til« stadig betyder input til næsten fuld pris i hver tur (@webtkdev). Særskilt blev Anthropics Message Threads-beta præsenteret som en måde at holde op med at sende hele agenttransskriptionen igen i hver tur (@readmodelmag).

Sådan svarer PoYo: PoYo-chat er forudbetalte kreditter pr. vellykket output fra én pung – ikke et forbrugerabonnement blandet med en Platform-cacheregnskab (forside, llms.txt). Vælg et Claude-model-ID (eller et andet), kald Chat Completions / Messages / Gemini-native som dokumenteret, og læs aktuelle priser på https://poyo.ai/models/<id>/llms.txt (chatmodeller, Anthropic). Sæt loft over løbske agenter med timevise / daglige / samlede grænser pr. nøgle (API-nøgleside); tom saldo giver 402 (error codes).

PoYos offentlige dokumentation dokumenterer ikke Anthropics multiplikatorer for prompt-cache, semantikken i Message Threads eller et eget dashboard med »cache-hitrate i %« – hvis en models upstream-afregningsregler har betydning for dig, så kontrollér dem i modellens llms.txt og i udbyderens egen dokumentation, før du går ud fra en rabat.

Q7. »Får jeg faktisk den model, jeg har betalt for?« – bekymring for aggregatorers ægthed.

Hvad udviklerne klager over: Udviklere spurgte, hvordan man ved, at en forhandler/router (OpenRouter blev nævnt ved navn) leverer den samme model, som du valgte og betalte for; verifikation i stil med Anthropics »FlashProve« blev beskrevet som en måde at lukke det hul på (@shlokafc, @AgentFilipHQ). Tillid til inferensudbydere er nu et produktkrav, ikke en fodnote.

Sådan svarer PoYo: PoYo er én samlet API-nøgle til billede, video, musik, 3D og chat (API-overblik, llms.txt). Du angiver et eksplicit model-ID; hver model udgiver en fil med aktuelt skema og aktuelle priser på https://poyo.ai/models/<id>/llms.txt. Medier bruger ét asynkront flow med indsendelse → status / webhook; chat bruger dokumenterede endpoints i OpenAI-, Claude- og Gemini-format.

Det, den offentlige dokumentation ikke hævder i dag: et kryptografisk attesteringsprodukt af typen »dette svar er signeret af laboratorium X«, automatisk gennemsigtig failover mellem laboratorier eller en offentliggjort SLA for en delt gratispulje med flere lejere. Getting Started sætter realistiske forventninger til stabilitet sammenlignet med de officielle udbydere. Mislykkede genereringsopgaver afregnes ikke (forside). Sæt grænser på nøglerne, og tjek GET /api/user/balance (API-nøgleside, user balance).

Q8. Agenter står nu for de fleste tokens – og bløde budgetter stopper ikke en løbsk løkke.

Hvad udviklerne klager over: Menlo Ventures' tal for AI i virksomheder i 2026 cirkulerede kraftigt: virksomhedernes AI-forbrug sprang i vejret, Anthropic tog en stor del af forbruget på LLM-API'er, og agenter genererer nu omkring 80 % af tokens (@guilleflorvs, @MenloVentures). Opslag med omkostningssammenligninger viste enorme forskelle mellem Claude og DeepSeek på den samme arbejdsbyrde (@aetherfrontier). Udviklere på Reddit hævdede, at store udbydere stadig tilbyder advarsler/bløde budgetter, men ikke et hårdt, absolut forbrugsloft, så en hacket konto eller en agentløkke, der sidder fast, stadig kan producere en regning på seks cifre (r/AI_Agents).

Sådan svarer PoYo: Regnestykket med pris pr. token sætter ikke loft over det månedlige forbrug – det gør din kreditsaldo og dine nøglegrænser. Driftsmæssige kontroller, der er dokumenteret i dag:

• Forudbetalte kreditter, der aldrig udløber, intet abonnement (forside).
• Timevise / daglige / samlede grænser pr. nøgle (API-nøgleside).
• GET /api/user/balance før store agent-batches (user balance).
• Behandl 402 som et hårdt stop; behandl 429 som »sænk tempoet og prøv igen« (error codes).
• Send ikke genereringsarbejde blindt igen: genindsendelser af anmodninger dedupliceres ikke og kan oprette en ny opgave (Getting Started).
• Foretræk webhooks ved lange mediejobs; mislykkede opgaver afregnes ikke (llms.txt). Genereret medieindhold gemmes i 3 dage – download det hurtigt (Getting Started, videomodeller).

Der findes intet dokumenteret agentprodukt med »stopbetingelse«, der automatisk dræber en løbsk værktøjsløkke for dig – sæt nøglegrænser, og byg grænser for trin/budget på klientsiden, hvis du har brug for det. Den offentlige dokumentation lover ikke refundering for løkker, der brugte kreditterne på en gyldig nøgle.

Hurtigt overblik

Gennemse modeller og aktuelle priser på poyo.ai, skemaer via llms.txt og det samlede dokumentationsindeks på docs.poyo.ai/llms.txt.