Klager som engelskspråklige utviklere la ut offentlig mellom 2. og 4. nov. 2026, gjengitt med egne ord nedenfor og med lenker til de opprinnelige innleggene. Hvert svar bruker bare det PoYos offentlige nettsted og dokumentasjon sier i dag, og lenker til siden det kommer fra. Der dokumentasjonen ikke dekker noe, sier vi det.

Q1. LLMjacking: stjålne nøkler, $100k på én dag, opptil ~$1M før noen tilbakekalte dem.

Dette klager utviklerne på: Omtalen av LLMjacking fra Google Threat Intelligence / Mandiant dominerte de engelskspråklige feedene – angripere stjeler skytokens og API-nøkler til LLM-er, videreselger tilgangen og etterlater ofrene med over $100 000 i uberettigede belastninger på én enkelt dag og opptil rundt $1M før tilgangen blir stengt (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Reddit-tråder om nøkler til OpenRouter og Claude gjentar det samme feilmønsteret: Deaktivering er ikke alltid nok; slett/roter, og myke budsjettvarsler stopper ikke forbruket (r/openrouter, r/AI_Agents).

Slik svarer PoYo: Behandle hver PoYo-nøkkel som kontanter på serveren din – Kom i gang sier at nøkler aldri skal ligge i frontend-kode, mobilapper eller offentlige repoer. Dokumenterte kontroller for å begrense skadeomfanget på API-nøkkelsiden:

1. Tilbakekall / roter kompromitterte nøkler umiddelbart (slett – ikke bare «sett på pause» i hodet).
2. Slå på en IP-hviteliste, slik at en kopiert nøkkel bare virker fra godkjente server-IP-er.
3. Sett bruksgrenser per time / dag / totalt for hver nøkkel, slik at en gjenglemt hemmelighet har et tak.
4. Send X-End-User-ID ved generering og innebygd chat, slik at du kan blokkere én misbrukende bruker med 403 end_user_blocked uten å rotere alle integrasjoner (Identifisering av sluttbrukere).
5. Følg med på GET /api/user/balance og stopp ved 402 insufficient_credits_error (brukersaldo, feilkoder).

Faktureringen skjer med forhåndsbetalte kreditter per vellykket resultat; mislykkede genereringsoppgaver belastes ikke (forside, llms.txt). Den offentlige dokumentasjonen lover ikke refusjon for bruk med en lekket nøkkel. Kontakt [email protected] hvis du tror en PoYo-nøkkel er misbrukt (Kom i gang).

Q2. Legg en falsk OpenAI-kompatibel nøkkel i et offentlig repo – plukket opp på under to timer.

Dette klager utviklerne på: Et honningkrukke-eksperiment: En falsk OpenAI-kompatibel API-nøkkel plantet i offentlige repoer ble brukt på under to timer, etterfulgt av opptelling av modeller og testprompter for å sjekke hva endepunktet faktisk leverte (@polydaic). Samme uke gjentok utviklere stadig at nøkler i klientpakker eller gammel git-historikk fortsatt er aktive helt til du sletter dem.

Slik svarer PoYo: Hold PoYo-nøklene utelukkende på serversiden (Kom i gang). Gå ut fra at alt som noen gang har havnet i en offentlig commit, er brent:

1. Roter nøkkelen på API-nøkkelsiden, og utsted en ny til den ekte backenden.
2. Lås den nye nøkkelen med IP-hviteliste + tak per time / dag / totalt for hver nøkkel.
3. For proxyer med flere kunder krever du X-End-User-ID og blokkerer misbrukere med 403 uten å rotere hele nøkkelen (Identifisering av sluttbrukere).
4. Varsle ved fall i GET /api/user/balance, og behandle 402 som en hard stopp (brukersaldo, feilkoder).

PoYo dokumenterer ikke noe produkt for «honningkrukke-nøkler» eller automatisk skanning etter hemmeligheter i GitHub-kontoen din – det ligger hos deg. Mislykkede genereringsoppgaver belastes fortsatt ikke (llms.txt).

Q3. Forsyningskjeder i GhostAction-stil: MCP-oppsett og tokens til AI-plattformer i skadesonen.

Dette klager utviklerne på: Sikkerhetsinnlegg beskrev kompromitteringer av forsyningskjeder på GitHub i GhostAction-stil (hundrevis av kontoer/repoer) som spesifikt jakter på MCP-oppsett, tokens til AI-plattformer og SSH-nøkler (@morphisec). Beslektede innlegg advarte om at når et kontrollpanel eller en agentvert først er kapret, følger plantede SSH-nøkler og stjålet API-legitimasjon etter (@PacketReport1).

Slik svarer PoYo: En PoYo-nøkkel i et MCP-oppsett, på en agentvert eller i en CI-hemmelighet er fortsatt en forhåndsbetalt lommebok. Dokumenterte tiltak:

• Commit aldri nøkler; hold dem unna frontend og offentlige repoer (Kom i gang).
• Bruk egne nøkler per miljø med IP-hviteliste og tak per time / dag / totalt (API-nøkkelside).
• Bruk helst PoYos hostede MCP med en nøkkel du kontrollerer og kan rotere (Koble til med MCP, Autentisering).
• Ved mistanke: roter, stram inn tak/IP, sjekk GET /api/user/balance, og kontakt [email protected] ved behov.

Den offentlige dokumentasjonen hevder ikke at det finnes automatisk oppdagelse av kompromitterte GitHub Actions eller MCP-verter, og lover ikke refusjon for trafikk som brukte en fortsatt gyldig nøkkel.

Q4. Hjemmesnekret «llm-key-rotator»: Når én nøkkel får 429, bytt til neste.

Dette klager utviklerne på: Åpen kildekode og tips-innlegg promoterte små gatewayer som roterer API-nøkler når én treffer hastighetsgrensen (@jojeangsaing). Driftsprat i samme periode behandlet RPM-vegger per nøkkel og 429 fra delte potter som noe man dekker over med flere nøkler i stedet for å løse i produktlaget.

Slik svarer PoYo: Å rotere nøkler rundt en 429 kan skjule det egentlige problemet. Hos PoYo holder du kodene fra hverandre (feilkoder):

Standard for generering: opptil 20 nye /api/generate/submit-forespørsler per 10 sekunder per konto; overskytende forespørsler returnerer 429 og kommer ikke inn i køen. LLM-endepunktene har foreløpig ingen hastighetsgrense (Kom i gang). Velg heller én nøkkel med dokumenterte tak enn en farm av rotatorer (API-nøkkelside). Dokumentasjonen beskriver ingen automatisk failover mellom laboratorier – bytt modell-ID i klienten hvis du trenger en annen leverandør. Mislykkede genereringsoppgaver belastes ikke (llms.txt).

Q5. Samme ombyggingsvindu: Gemini 503 oppstrøms, DeepSeek 429, gratisnivået også 429.

Dette klager utviklerne på: En logg fra en ombygging listet opp konkrete feil i samme vindu – gemini-4-barium → 503 / upstream unavailable etter backoff, deepseek-v4-flash → 429 og en gratis DeepSeek-rute som også ga 429 – deretter ett nytt forsøk etter en pause før det som fortsatt virket, ble lansert (@KeyoAPI). 429-feil ved toppbelastning for bilde/TTS i Gemini er fortsatt et fast tema på Reddit for kvoter på kredittnivåer og forhåndsversjoner (r/googlecloud, r/Bard).

Slik svarer PoYo: Knytt nye forsøk til de dokumenterte kodene (feilkoder):

• 429 → kø / eksponentiell backoff (generering: 20 forespørsler / 10 s som standard; LLM har foreløpig ingen hastighetsgrense) (Kom i gang).
• 402 → fyll på kreditter; behandle det aldri som en hastighetsgrense (brukersaldo).
• 502 / 503 → midlertidig oppstrøms / opptatt; backoff og nytt forsøk.

Én PoYo-nøkkel dekker chat (OpenAI-kompatibel / Claude Messages / Geminis egne endepunkter) pluss asynkron innsending/status for medier (llms.txt, API-oversikt). Gjeldende modellskjemaer og priser: https://poyo.ai/models/<id>/llms.txt. Bruk heller webhooks enn aggressiv polling for lange jobber. Dokumentasjonen hevder ikke at det finnes transparent failover mellom laboratorier eller en publisert SLA for en delt gratispott – Kom i gang sier at stabiliteten kan være litt lavere enn hos de offisielle leverandørene.

Q6. Hurtigbuffermatematikk i Claude: dashbordet viser null hurtigbufferlesinger mens du betaler 1,25× for hver skriving til hurtigbufferen.

Dette klager utviklerne på: Tråder om fakturering i Claude-API-et advarte om at en feilplassert cache_control kan gi null hurtigbufferlesinger, mens hver skriving faktureres med en 1,25×-multiplikator – så «jeg slo på hurtigbuffer» betyr fortsatt input til nesten full pris i hver runde (@webtkdev). I tillegg ble betaen Anthropic Message Threads presentert som en måte å slutte å sende hele agentutskriften på nytt i hver runde (@readmodelmag).

Slik svarer PoYo: Chat hos PoYo bruker forhåndsbetalte kreditter per vellykket resultat fra én lommebok – ikke en forbrukerplan blandet med et hurtigbufferregnskap i Platform (forside, llms.txt). Velg en modell-ID for Claude (eller en annen), kall Chat Completions / Messages / Geminis egne endepunkter slik det er dokumentert, og les gjeldende priser på https://poyo.ai/models/<id>/llms.txt (chatmodeller, Anthropic). Begrens løpske agenter med grenser per time / dag / totalt for hver nøkkel (API-nøkkelside); tom saldo returnerer 402 (feilkoder).

PoYos offentlige dokumentasjon beskriver ikke Anthropics multiplikatorer for prompthurtigbuffer, semantikken i Message Threads eller et eget dashbord for «treffprosent i hurtigbufferen» – hvis en modells faktureringsregler oppstrøms er viktige for deg, kontrollerer du dem i modellens llms.txt og i leverandørens egen dokumentasjon før du regner med en rabatt.

Q7. «Får jeg faktisk den modellen jeg betalte for?» – uro rundt ektheten hos aggregatorer.

Dette klager utviklerne på: Utviklere spurte hvordan man vet at en forhandler/ruter (OpenRouter ble nevnt ved navn) returnerer den samme modellen du valgte og betalte for; verifisering i stil med Anthropics «FlashProve» ble fremstilt som noe som fyller dette hullet (@shlokafc, @AgentFilipHQ). Tillit til inferensleverandører er nå et produktkrav, ikke en fotnote.

Slik svarer PoYo: PoYo er en samlet API-nøkkel for bilde, video, musikk, 3D og chat (API-oversikt, llms.txt). Du oppgir en eksplisitt modell-ID; hver modell publiserer en oppdatert skjema- og prisfil på https://poyo.ai/models/<id>/llms.txt. Medier bruker én asynkron flyt med innsending → status / webhook, og chat bruker dokumenterte endepunkter i OpenAI-, Claude- og Gemini-format.

Dette hevder den offentlige dokumentasjonen ikke i dag: et produkt for kryptografisk attestering av at «dette svaret er signert av laboratorium X», automatisk transparent failover mellom laboratorier eller en publisert SLA for en delt gratispott. Kom i gang setter realistiske forventninger til stabilitet sammenlignet med de offisielle leverandørene. Mislykkede genereringsoppgaver belastes ikke (forside). Sett tak på nøklene og sjekk GET /api/user/balance (API-nøkkelside, brukersaldo).

Q8. Agenter står nå for de fleste tokenene – og myke budsjetter stopper ikke en løpsk løkke.

Dette klager utviklerne på: Menlo Ventures' tall om AI i bedrifter for 2026 ble delt flittig: AI-forbruket i bedrifter skjøt i været, Anthropic tok en stor andel av forbruket på LLM-API-er, og agenter genererer nå rundt 80 % av tokenene (@guilleflorvs, @MenloVentures). Innlegg med kostnadssammenligninger viste enorme forskjeller mellom Claude og DeepSeek på samme arbeidslast (@aetherfrontier). Utviklere på Reddit hevdet at de store leverandørene fortsatt tilbyr varsler/myke budsjetter, men ikke et hardt, absolutt forbrukstak, slik at en hacket konto eller en agentløkke som har hengt seg opp, fortsatt kan gi en sekssifret regning (r/AI_Agents).

Slik svarer PoYo: Regnestykker med pris per token setter ikke tak på det månedlige forbruket – det gjør kredittsaldoen og nøkkeltakene. Operative kontroller som er dokumentert i dag:

• Forhåndsbetalte kreditter som aldri utløper, ikke noe abonnement (forside).
• Tak per time / dag / totalt for hver nøkkel (API-nøkkelside).
• GET /api/user/balance før store agentbatcher (brukersaldo).
• Behandle 402 som en hard stopp og 429 som et signal om å senke tempoet og prøve igjen (feilkoder).
• Ikke send inn genereringsarbeid på nytt i blinde: Nye innsendingsforsøk dedupliseres ikke og kan opprette en ny oppgave (Kom i gang).
• For lange mediejobber bør du bruke webhooks; mislykkede oppgaver belastes ikke (llms.txt). Generert media lagres i 3 dager – last ned raskt (Kom i gang, videomodeller).

Det finnes ikke noe dokumentert produkt for «stoppbetingelser» i agenter som automatisk dreper en løpsk verktøyløkke for deg – sett nøkkeltak og bygg grenser for steg/budsjett på klientsiden hvis du trenger det. Den offentlige dokumentasjonen lover ikke refusjon for løkker som har brukt kredittene til en gyldig nøkkel.

Rask oversikt

Bla gjennom modeller og gjeldende priser på poyo.ai, skjemaer via llms.txt og hele dokumentasjonsindeksen på docs.poyo.ai/llms.txt.