Plaintes publiées par des développeurs anglophones entre le 2 et le 4 novembre 2026, résumées ci-dessous avec des liens vers les messages d’origine. Chaque réponse n’utilise que ce que le site et la documentation publics de PoYo disent aujourd’hui, et renvoie vers la page d’où cela vient. Là où la documentation ne couvre pas un point, nous le disons.

Q1. LLMjacking : clés volées, 100 000 USD en une journée, jusqu’à environ 1 M USD avant qu’on révoque.

Ce que les développeurs reprochent : La couverture de Google Threat Intelligence / Mandiant sur le LLMjacking a occupé les fils en anglais. Les attaquants volent des jetons cloud et des clés d’API LLM, revendent l’accès et laissent aux victimes plus de 100 000 USD de frais frauduleux en une seule journée, jusqu’à environ 1 M USD avant que l’accès soit coupé (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Les fils Reddit sur les clés OpenRouter et Claude répètent le même mode d’échec : désactiver ne suffit pas toujours. Il faut supprimer ou faire tourner, et les alertes de budget souples n’arrêtent pas la dépense de façon dure (r/openrouter, r/AI_Agents).

Comment PoYo répond : Traitez chaque clé PoYo comme de l’argent sur votre serveur. Premiers pas indique de ne jamais placer de clés dans le code frontend, les applications mobiles ou les dépôts publics. Contrôles documentés du rayon d’impact sur la page des clés d’API :

1. Révoquer / faire tourner immédiatement les clés compromises (les supprimer, pas seulement les « mettre en pause » dans votre tête).
2. Activer une liste d’IP autorisées pour qu’une clé copiée ne fonctionne que depuis des IP de serveur approuvées.
3. Fixer des plafonds d’usage horaires / quotidiens / totaux par clé, pour qu’un secret restant ait un plafond.
4. Envoyer X-End-User-ID sur la génération et le chat natif afin de bloquer un appelant abusif avec 403 end_user_blocked sans faire tourner chaque intégration (Identification de l’utilisateur final).
5. Surveiller GET /api/user/balance et s’arrêter sur 402 insufficient_credits_error (solde utilisateur, codes d’erreur).

La facturation se fait en crédits prépayés par sortie réussie. Les tâches de génération en échec ne sont pas facturées (page d’accueil, llms.txt). La documentation publique ne promet pas de remboursement pour l’usage fait avec une clé divulguée. Écrivez à [email protected] si vous pensez qu’une clé PoYo a été utilisée à mauvais escient (Premiers pas).

Q2. Planter une fausse clé compatible OpenAI dans un dépôt public : ramassée en moins de deux heures.

Ce que les développeurs reprochent : Une expérience de honeypot : une fausse clé d’API compatible OpenAI semée dans des dépôts publics a été utilisée en moins de deux heures, puis suivie d’une énumération de modèles et de prompts de test pour vérifier ce que le point de terminaison servait vraiment (@polydaic). La même semaine, ceux qui construisent répétaient que les clés dans les bundles client ou dans un ancien historique git restent actives tant que vous ne les supprimez pas.

Comment PoYo répond : Gardez les clés PoYo uniquement côté serveur (Premiers pas). Considérez comme brûlé tout ce qui a touché un commit public :

1. Faire tourner la clé sur la page des clés d’API et en émettre une nouvelle pour le vrai backend.
2. Verrouiller le remplacement avec une liste d’IP et des plafonds horaires / quotidiens / totaux par clé.
3. Pour les proxys multi-locataires, exiger X-End-User-ID et bloquer les abus avec 403 sans faire tourner toute la clé (Identification de l’utilisateur final).
4. Alerter sur la baisse de GET /api/user/balance et traiter 402 comme un arrêt net (solde utilisateur, codes d’erreur).

PoYo ne documente pas de produit « clé honeypot » ni d’analyse automatique des secrets de votre GitHub. Cela reste de votre côté. Les tâches de génération en échec ne sont toujours pas facturées (llms.txt).

Q3. Chaînes d’approvisionnement façon GhostAction : configurations MCP et jetons de plateformes d’IA dans le rayon d’impact.

Ce que les développeurs reprochent : Des posts de sécurité ont décrit des compromissions de la chaîne d’approvisionnement GitHub façon GhostAction (des centaines de comptes et de dépôts) qui cherchent en particulier les configurations MCP, les jetons de plateformes d’IA et les clés SSH (@morphisec). Des posts voisins ont prévenu qu’une fois un panneau ou un hôte d’agent détourné, des clés SSH plantées et des identifiants d’API volés suivent (@PacketReport1).

Comment PoYo répond : Une clé PoYo dans une configuration MCP, un hôte d’agent ou un secret CI reste un portefeuille prépayé. Atténuations documentées :

• Ne jamais committer les clés. Les tenir hors du frontend et des dépôts publics (Premiers pas).
• Séparer des clés par environnement avec une liste d’IP et des plafonds horaires / quotidiens / totaux (page des clés d’API).
• Préférer le MCP hébergé de PoYo avec une clé que vous contrôlez et pouvez faire tourner (Connexion avec MCP, Authentification).
• En cas de soupçon : faire tourner, resserrer plafonds et IP, vérifier GET /api/user/balance, ouvrir [email protected] si besoin.

La documentation publique ne prétend pas détecter automatiquement des GitHub Actions ou des hôtes MCP compromis, et ne promet pas de remboursement pour le trafic qui a utilisé une clé encore valide.

Q4. Un « llm-key-rotator » maison : quand une clé renvoie 429, passer à la suivante.

Ce que les développeurs reprochent : Des posts open source et de conseils poussaient de petites passerelles qui font tourner les clés d’API dès que l’une atteint sa limite de débit (@jojeangsaing). Les discussions d’exploitation voisines traitaient les murs de RPM par clé et les 429 de pools partagés comme quelque chose qu’on recouvre avec plus de clés, plutôt que de le corriger au niveau du produit.

Comment PoYo répond : Faire tourner des clés autour d’un 429 peut cacher le mauvais problème. Séparez les codes (codes d’erreur) :

Valeurs par défaut de génération : jusqu’à 20 nouvelles demandes /api/generate/submit par 10 secondes et par compte. Le dépassement renvoie 429 et n’entre pas dans la file. Les points de terminaison LLM ne sont pas limités en débit pour le moment (Premiers pas). Préférez une clé avec des plafonds documentés à une ferme de rotateurs (page des clés d’API). La documentation décrit aucun basculement automatique entre laboratoires. Changez l’identifiant de modèle dans le client si vous avez besoin d’un autre fournisseur. Les tâches de génération en échec ne sont pas facturées (llms.txt).

Q5. La même fenêtre de rebuild : Gemini 503 en amont, DeepSeek 429, le palier gratuit aussi en 429.

Ce que les développeurs reprochent : Un journal de rebuild a listé des échecs concrets dans une fenêtre : gemini-4-barium → 503 / amont indisponible après backoff, deepseek-v4-flash → 429, et une route DeepSeek gratuite aussi en 429, puis une seule nouvelle tentative de refroidissement avant d’expédier ce qui fonctionnait encore (@KeyoAPI). Les 429 en rafale sur l’image et le TTS Gemini restent un thème durable de Reddit sur les quotas de palier de crédits et de préversion (r/googlecloud, r/Bard).

Comment PoYo répond : Faites correspondre les nouvelles tentatives aux codes documentés (codes d’erreur) :

• 429 → file / backoff exponentiel (génération : 20 demandes / 10 s par défaut ; LLM non limité en débit pour le moment) (Premiers pas).
• 402 → recharger des crédits. Ne jamais traiter cela comme une limite de débit (solde utilisateur).
• 502 / 503 → amont ou saturation transitoires. Backoff et nouvelle tentative.

Une clé PoYo couvre le chat (compatible OpenAI / Claude Messages / natif Gemini) plus le submit/status asynchrone des médias (llms.txt, vue d’ensemble de l’API). Schémas et prix des modèles en direct : https://poyo.ai/models/<id>/llms.txt. Pour les longs travaux, préférez les webhooks à un polling agressif. La documentation ne prétend pas un basculement transparent entre laboratoires ni un SLA publié de pool gratuit partagé. Premiers pas indique que la stabilité peut être légèrement inférieure à celle des fournisseurs officiels.

Q6. Le calcul du cache Claude : le tableau de bord affiche zéro lecture de cache pendant que chaque écriture est facturée 1,25×.

Ce que les développeurs reprochent : Les fils sur la facturation de l’API Claude ont prévenu qu’un cache_control mal placé peut laisser les lectures de cache à zéro pendant que chaque écriture est facturée avec un multiplicateur de 1,25×. « J’ai activé le cache » veut alors encore dire une entrée proche du plein tarif à chaque tour (@webtkdev). À part, la bêta Anthropic Message Threads a été présentée comme un moyen de ne plus renvoyer toute la transcription de l’agent à chaque tour (@readmodelmag).

Comment PoYo répond : Le chat PoYo se paie en crédits prépayés par sortie réussie depuis un seul portefeuille, pas en un plan grand public mêlé à un grand livre de cache Platform (page d’accueil, llms.txt). Choisissez un identifiant de modèle Claude (ou autre), appelez Chat Completions / Messages / le natif Gemini comme documenté, et lisez le prix en direct sur https://poyo.ai/models/<id>/llms.txt (modèles de chat, Anthropic). Plafonnez les agents qui s’emballent avec des limites horaires / quotidiennes / totales par clé (page des clés d’API). Un solde vide renvoie 402 (codes d’erreur).

La documentation publique de PoYo ne documente pas les multiplicateurs de cache de prompt d’Anthropic, la sémantique de Message Threads, ni un tableau de bord « pourcentage de succès de cache » qui nous appartiendrait. Si les règles de facturation amont d’un modèle comptent pour vous, vérifiez-les dans le llms.txt de ce modèle et dans la documentation du fournisseur avant de supposer une remise.

Q7. « Est-ce que je reçois vraiment le modèle que j’ai payé ? » L’inquiétude sur l’authenticité des agrégateurs.

Ce que les développeurs reprochent : Ceux qui construisent ont demandé comment savoir qu’un revendeur ou un routeur (OpenRouter cité nommément) renvoie le même modèle que celui choisi et payé. Une vérification façon « FlashProve » d’Anthropic a été présentée comme ce qui comble ce trou (@shlokafc, @AgentFilipHQ). La confiance dans les fournisseurs d’inférence est devenue une exigence de produit, pas une note de bas de page.

Comment PoYo répond : PoYo est une clé d’API unifiée pour l’image, la vidéo, la musique, la 3D et le chat (vue d’ensemble de l’API, llms.txt). Vous passez un identifiant de modèle explicite. Chaque modèle publie un schéma et un fichier de prix en direct sur https://poyo.ai/models/<id>/llms.txt. Les médias utilisent un flux asynchrone submit → status / webhook. Le chat utilise les points de terminaison documentés en forme OpenAI, Claude ou Gemini.

Ce que la documentation publique ne prétend pas aujourd’hui : un produit d’attestation cryptographique « cette réponse a été signée par le labo X », un basculement automatique et transparent entre labos, ou un SLA publié de pool gratuit multi-locataire. Premiers pas fixe des attentes réalistes de stabilité par rapport aux fournisseurs officiels. Les tâches de génération en échec ne sont pas facturées (page d’accueil). Plafonnez les clés et vérifiez GET /api/user/balance (page des clés d’API, solde utilisateur).

Q8. Les agents produisent désormais la plupart des jetons, et les budgets souples n’arrêtent pas net une boucle partie seule.

Ce que les développeurs reprochent : Les chiffres 2026 d’IA d’entreprise de Menlo Ventures ont beaucoup circulé : la dépense d’IA d’entreprise a bondi, Anthropic a pris une large part de la dépense d’API LLM, et les agents génèrent désormais environ 80 % des jetons (@guilleflorvs, @MenloVentures). Des comparaisons de coût ont montré des écarts énormes entre Claude et DeepSeek sur la même charge (@aetherfrontier). Sur Reddit, on a soutenu que les grands fournisseurs offrent encore des alertes et des budgets souples, mais pas un plafond absolu dur de dépense, de sorte qu’un compte piraté ou une boucle d’agent coincée peut encore imprimer une facture à six chiffres (r/AI_Agents).

Comment PoYo répond : Le calcul du prix par jeton ne plafonne pas la consommation mensuelle. Votre solde de crédits et les plafonds de clé le font. Contrôles opérationnels documentés aujourd’hui :

• Des crédits prépayés qui n’expirent pas, pas d’abonnement (page d’accueil).
• Des plafonds horaires / quotidiens / totaux par clé (page des clés d’API).
• GET /api/user/balance avant de gros lots d’agents (solde utilisateur).
• Traiter 402 comme un arrêt net et 429 comme un ralentissement puis une nouvelle tentative (codes d’erreur).
• Ne resoumettez pas à l’aveugle le travail de génération : les nouvelles tentatives de soumission ne sont pas dédupliquées et peuvent créer une autre tâche (Premiers pas).
• Pour les longs travaux média, préférez les webhooks. Les tâches en échec ne sont pas facturées (llms.txt). Les médias générés sont conservés 3 jours. Téléchargez-les vite (Premiers pas, modèles vidéo).

Il n’existe pas de produit documenté de « condition d’arrêt » d’agent qui tue à votre place une boucle d’outils partie seule. Fixez des plafonds de clé et construisez des limites d’étapes et de budget côté client si vous en avez besoin. La documentation publique ne promet pas de remboursement pour des boucles qui ont dépensé les crédits d’une clé valide.

Repère rapide

Parcourez les modèles et les prix en direct sur poyo.ai, les schémas via llms.txt, et l’index complet de la documentation sur docs.poyo.ai/llms.txt.