Reclamações que desenvolvedores de língua inglesa publicaram entre 2 e 4 de novembro de 2026, resumidas abaixo com links para as publicações originais. Cada resposta usa só o que o site e a documentação públicos da PoYo dizem hoje, e aponta a página de origem. Onde a documentação não cobre algo, dizemos isso.

Q1. LLMjacking: chaves roubadas, US$ 100 mil em um dia, até cerca de US$ 1 milhão antes de alguém revogar.

Do que os desenvolvedores reclamam: A cobertura do Google Threat Intelligence / Mandiant sobre LLMjacking dominou os feeds em inglês. Atacantes roubam tokens de nuvem e chaves de API de LLM, revendem o acesso e deixam as vítimas com mais de US$ 100 mil em cobranças fraudulentas em um único dia e até cerca de US$ 1 milhão antes de o acesso ser cortado (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Threads do Reddit sobre chaves do OpenRouter e do Claude repetem o mesmo modo de falha: desativar nem sempre basta. É preciso apagar ou rotacionar, e alertas suaves de orçamento não param o gasto de forma dura (r/openrouter, r/AI_Agents).

Como a PoYo responde: Trate cada chave da PoYo como dinheiro no seu servidor. Primeiros passos diz para nunca colocar chaves em código de frontend, apps móveis ou repositórios públicos. Controles documentados do raio de impacto na página de chaves de API:

1. Revogar / rotacionar na hora as chaves comprometidas (apagar, não só «pausar» na cabeça).
2. Ligar uma lista de IPs permitidos para que uma chave copiada só funcione a partir de IPs de servidor aprovados.
3. Definir tetos de uso por hora / por dia / totais por chave, para que um segredo que reste tenha um teto.
4. Enviar X-End-User-ID na geração e no chat nativo para bloquear um chamador abusivo com 403 end_user_blocked sem rotacionar cada integração (Identificação do usuário final).
5. Acompanhar GET /api/user/balance e parar em 402 insufficient_credits_error (saldo do usuário, códigos de erro).

A cobrança é de créditos pré-pagos por saída bem-sucedida. Tarefas de geração que falham não são cobradas (página inicial, llms.txt). A documentação pública não promete reembolso pelo uso feito com uma chave vazada. Escreva para [email protected] se acreditar que uma chave da PoYo foi usada de forma indevida (Primeiros passos).

Q2. Plantar uma chave falsa compatível com OpenAI num repositório público: recolhida em menos de duas horas.

Do que os desenvolvedores reclamam: Um experimento de honeypot: uma chave de API falsa compatível com OpenAI semeada em repositórios públicos foi usada em menos de duas horas, seguida de enumeração de modelos e prompts de teste para verificar o que o endpoint de fato servia (@polydaic). Na mesma semana, quem constrói repetiu que chaves em bundles de cliente ou no histórico antigo do git continuam vivas até você apagá-las.

Como a PoYo responde: Mantenha as chaves da PoYo só no servidor (Primeiros passos). Trate como queimado qualquer segredo que tenha entrado num commit público:

1. Rotacionar a chave na página de chaves de API e emitir uma nova para o backend de verdade.
2. Travar a substituta com lista de IPs e tetos por hora / por dia / totais por chave.
3. Em proxies multilocatário, exigir X-End-User-ID e bloquear abusos com 403 sem rotacionar a chave inteira (Identificação do usuário final).
4. Alertar quando GET /api/user/balance cair e tratar 402 como parada dura (saldo do usuário, códigos de erro).

A PoYo não documenta um produto de «chave honeypot» nem varredura automática de segredos do seu GitHub. Isso fica do seu lado. Tarefas de geração que falham continuam sem cobrança (llms.txt).

Q3. Cadeias de suprimento no estilo GhostAction: configurações MCP e tokens de plataformas de IA no raio de impacto.

Do que os desenvolvedores reclamam: Posts de segurança descreveram comprometimentos da cadeia de suprimentos do GitHub no estilo GhostAction (centenas de contas e repositórios) que caçam em especial configurações MCP, tokens de plataformas de IA e chaves SSH (@morphisec). Posts vizinhos avisaram que, depois que um painel ou um host de agente é sequestrado, vêm chaves SSH plantadas e credenciais de API roubadas (@PacketReport1).

Como a PoYo responde: Uma chave da PoYo numa configuração MCP, num host de agente ou num segredo de CI continua sendo uma carteira pré-paga. Mitigações documentadas:

• Não faça commit de chaves. Mantenha-as fora do frontend e de repositórios públicos (Primeiros passos).
• Separe chaves por ambiente com lista de IPs e tetos por hora / por dia / totais (página de chaves de API).
• Prefira o MCP hospedado da PoYo com uma chave que você controla e pode rotacionar (Conectar com MCP, Autenticação).
• Na suspeita: rotacione, aperte tetos e IP, confira GET /api/user/balance e abra [email protected] se precisar.

A documentação pública não afirma detecção automática de GitHub Actions ou hosts MCP comprometidos, e não promete reembolso de tráfego que usou uma chave ainda válida.

Q4. Um «llm-key-rotator» feito à mão: quando uma chave dá 429, passa para a próxima.

Do que os desenvolvedores reclamam: Posts de código aberto e de dicas empurravam gateways pequenos que rotacionam chaves de API quando uma atinge o limite de taxa (@jojeangsaing). A conversa de operação ao lado tratava muros de RPM por chave e 429 de pools compartilhados como algo que se cobre com mais chaves, em vez de corrigir na camada do produto.

Como a PoYo responde: Rotacionar chaves em volta de um 429 pode esconder o problema errado. Na PoYo, separe os códigos (códigos de erro):

Padrão de geração: até 20 novas solicitações /api/generate/submit a cada 10 segundos por conta. O excesso devolve 429 e não entra na fila. Os endpoints de LLM não têm limite de taxa no momento (Primeiros passos). Prefira uma chave com tetos documentados a uma fazenda de rotacionadores (página de chaves de API). A documentação descreve sem failover automático entre laboratórios. Troque o ID do modelo no cliente se precisar de outro provedor. Tarefas de geração que falham não são cobradas (llms.txt).

Q5. A mesma janela de rebuild: Gemini 503 de upstream, DeepSeek 429, e o nível gratuito também em 429.

Do que os desenvolvedores reclamam: Um log de rebuild listou falhas concretas numa janela: gemini-4-barium → 503 / upstream indisponível depois do backoff, deepseek-v4-flash → 429, e uma rota gratuita do DeepSeek também em 429, depois uma única nova tentativa de resfriamento antes de publicar o que ainda funcionava (@KeyoAPI). Rajadas de 429 em imagem e TTS do Gemini continuam um tema fixo no Reddit sobre cotas de nível de crédito e de prévia (r/googlecloud, r/Bard).

Como a PoYo responde: Mapeie as novas tentativas aos códigos documentados (códigos de erro):

• 429 → fila / backoff exponencial (geração: 20 solicitações / 10 s por padrão; LLM sem limite de taxa no momento) (Primeiros passos).
• 402 → recarregar créditos. Nunca tratar como limite de taxa (saldo do usuário).
• 502 / 503 → upstream ou ocupação transitórios. Backoff e nova tentativa.

Uma chave da PoYo cobre chat (compatível com OpenAI / Claude Messages / nativo do Gemini) mais submit/status assíncrono de mídia (llms.txt, visão geral da API). Esquemas e preços ao vivo dos modelos: https://poyo.ai/models/<id>/llms.txt. Em trabalhos longos, prefira webhooks a um polling agressivo. A documentação não afirma failover transparente entre laboratórios nem um SLA publicado de pool gratuito compartilhado. Primeiros passos diz que a estabilidade pode ser um pouco menor que a dos provedores oficiais.

Q6. A conta do cache do Claude: o painel mostra zero leituras de cache enquanto cada escrita cobra 1,25×.

Do que os desenvolvedores reclamam: Threads de cobrança da API do Claude avisaram que um cache_control no lugar errado pode deixar as leituras de cache em zero enquanto cada escrita é cobrada com um multiplicador de 1,25×. Assim, «liguei o cache» ainda significa entrada quase a preço cheio em cada turno (@webtkdev). À parte, o beta do Anthropic Message Threads foi apresentado como forma de parar de reenviar a transcrição inteira do agente a cada turno (@readmodelmag).

Como a PoYo responde: O chat da PoYo é de créditos pré-pagos por saída bem-sucedida de uma carteira só, não um plano de consumidor misturado com um livro de cache da Platform (página inicial, llms.txt). Escolha um ID de modelo Claude (ou outro), chame Chat Completions / Messages / nativo do Gemini como documentado e leia o preço ao vivo em https://poyo.ai/models/<id>/llms.txt (modelos de chat, Anthropic). Limite agentes descontrolados com limites por hora / por dia / totais por chave (página de chaves de API). Saldo vazio devolve 402 (códigos de erro).

A documentação pública da PoYo não documenta multiplicadores de cache de prompt da Anthropic, a semântica de Message Threads nem um painel nosso de «percentual de acerto de cache». Se as regras de cobrança upstream de um modelo importam para você, confira-as no llms.txt desse modelo e na documentação do próprio provedor antes de assumir um desconto.

Q7. «Estou mesmo recebendo o modelo pelo qual paguei?» A ansiedade de autenticidade do agregador.

Do que os desenvolvedores reclamam: Quem constrói perguntou como saber se um revendedor ou roteador (o OpenRouter foi citado pelo nome) devolve o mesmo modelo que foi escolhido e pago. Uma verificação no estilo «FlashProve» da Anthropic foi enquadrada como o que preenche essa lacuna (@shlokafc, @AgentFilipHQ). Confiança em provedores de inferência agora é requisito de produto, não nota de rodapé.

Como a PoYo responde: A PoYo é uma chave de API unificada para imagem, vídeo, música, 3D e chat (visão geral da API, llms.txt). Você passa um ID de modelo explícito. Cada modelo publica um esquema e um arquivo de preços ao vivo em https://poyo.ai/models/<id>/llms.txt. Mídia usa um fluxo assíncrono submit → status / webhook. O chat usa os endpoints documentados no formato OpenAI, Claude ou Gemini.

O que a documentação pública não afirma hoje: um produto criptográfico de atestação «esta resposta foi assinada pelo lab X», failover automático e transparente entre labs, ou um SLA publicado de pool gratuito multilocatário. Primeiros passos define expectativas realistas de estabilidade frente aos provedores oficiais. Tarefas de geração que falham não são cobradas (página inicial). Limite as chaves e consulte GET /api/user/balance (página de chaves de API, saldo do usuário).

Q8. Os agentes já cunham a maior parte dos tokens, e orçamentos suaves não param de forma dura um loop descontrolado.

Do que os desenvolvedores reclamam: Os números de IA empresarial de 2026 da Menlo Ventures circularam com força: o gasto empresarial em IA saltou, a Anthropic ficou com uma fatia grande do gasto em API de LLM e os agentes agora geram cerca de 80% dos tokens (@guilleflorvs, @MenloVentures). Comparações de custo mostraram lacunas enormes entre Claude e DeepSeek na mesma carga (@aetherfrontier). No Reddit, argumentou-se que os grandes provedores ainda oferecem alertas e orçamentos suaves, mas não um teto absoluto duro de gasto, então uma conta invadida ou um loop de agente travado ainda pode imprimir uma conta de seis dígitos (r/AI_Agents).

Como a PoYo responde: A conta de preço por token não põe teto na queima mensal. O saldo de créditos e os tetos de chave põem. Controles operacionais documentados hoje:

• Créditos pré-pagos que não expiram, sem assinatura (página inicial).
• Tetos por hora / por dia / totais por chave (página de chaves de API).
• GET /api/user/balance antes de lotes grandes de agentes (saldo do usuário).
• Trate 402 como parada dura e 429 como baixar o ritmo e tentar de novo (códigos de erro).
• Não reenvie às cegas o trabalho de geração: novas tentativas de envio não são desduplicadas e podem criar outra tarefa (Primeiros passos).
• Em trabalhos longos de mídia, prefira webhooks. Tarefas que falham não são cobradas (llms.txt). A mídia gerada fica retida por 3 dias. Baixe logo (Primeiros passos, modelos de vídeo).

Não há um produto documentado de «condição de parada» do agente que mate por você um loop de ferramentas descontrolado. Defina tetos de chave e monte limites de passos e de orçamento no cliente se precisar. A documentação pública não promete reembolso de loops que gastaram os créditos de uma chave válida.

Mapa rápido

Veja modelos e preços ao vivo em poyo.ai, esquemas em llms.txt e o índice completo da documentação em docs.poyo.ai/llms.txt.