Những phàn nàn mà nhà phát triển nói tiếng Anh đăng công khai từ 2 đến 4 tháng 11 năm 2026 được tóm tắt bên dưới, kèm liên kết bài gốc. Mỗi câu trả lời chỉ dùng những gì trang và tài liệu công khai của PoYo nói hôm nay, và liên kết tới trang nguồn. Chỗ tài liệu không đề cập, chúng tôi nói rõ.

Q1. LLMjacking: khóa bị lấy, 100.000 USD trong một ngày, tới khoảng 1 triệu USD trước khi có người thu hồi.

Nhà phát triển đang phàn nàn điều gì: Tin của Google Threat Intelligence / Mandiant về LLMjacking chiếm các nguồn tiếng Anh. Kẻ tấn công lấy token đám mây và khóa API LLM, bán lại quyền truy cập, để nạn nhân chịu phí gian lận hơn 100.000 USD trong một ngày và tới khoảng 1 triệu USD trước khi quyền truy cập bị cắt (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Chủ đề Reddit về khóa OpenRouter và Claude lặp lại cùng một kiểu hỏng: tắt không phải lúc nào cũng đủ. Phải xóa hoặc xoay, và cảnh báo ngân sách mềm không dừng chi tiêu một cách cứng (r/openrouter, r/AI_Agents).

PoYo trả lời thế nào: Hãy coi mỗi khóa PoYo là tiền mặt trên máy chủ của bạn. Bắt đầu nói đừng đưa khóa vào mã frontend, ứng dụng di động hoặc kho công khai. Các kiểm soát bán kính thiệt hại đã ghi trong tài liệu trên trang khóa API:

1. Thu hồi / xoay ngay các khóa đã bị lộ (xóa, đừng chỉ «tạm dừng» trong đầu).
2. Bật danh sách IP cho phép để khóa bị sao chép chỉ chạy từ IP máy chủ đã duyệt.
3. Đặt trần dùng theo giờ / theo ngày / tổng trên từng khóa, để bí mật còn sót có trần.
4. Gửi X-End-User-ID trên tạo và chat gốc để chặn một bên gọi lạm dụng bằng 403 end_user_blocked mà không xoay từng tích hợp (nhận dạng người dùng cuối).
5. Theo dõi GET /api/user/balance và dừng ở 402 insufficient_credits_error (số dư người dùng, mã lỗi).

Tính phí là tín dụng trả trước theo đầu ra thành công. Tác vụ tạo thất bại không bị tính phí (trang chủ, llms.txt). Tài liệu công khai không hứa hoàn tiền cho mức dùng bằng khóa bị lộ. Viết tới [email protected] nếu bạn cho rằng một khóa PoYo bị dùng sai (Bắt đầu).

Q2. Cấy một khóa giả tương thích OpenAI vào kho công khai: bị nhặt trong chưa đầy hai giờ.

Nhà phát triển đang phàn nàn điều gì: Một thí nghiệm honeypot: khóa API giả tương thích OpenAI gieo trong kho công khai bị dùng trong chưa đầy hai giờ, rồi tới liệt kê mô hình và prompt thử để kiểm xem endpoint thực sự phục vụ gì (@polydaic). Cùng tuần, người xây lặp lại rằng khóa trong gói client hoặc lịch sử git cũ vẫn sống cho tới khi bạn xóa chúng.

PoYo trả lời thế nào: Giữ khóa PoYo chỉ ở phía máy chủ (Bắt đầu). Coi mọi thứ từng vào một commit công khai là đã cháy:

1. Xoay khóa trên trang khóa API và phát một khóa mới cho backend thật.
2. Khóa bản thay bằng danh sách IP + trần theo giờ / theo ngày / tổng trên từng khóa.
3. Với proxy đa thuê bao, yêu cầu X-End-User-ID và chặn lạm dụng bằng 403 mà không xoay cả khóa (nhận dạng người dùng cuối).
4. Cảnh báo khi GET /api/user/balance giảm và coi 402 là dừng cứng (số dư người dùng, mã lỗi).

PoYo không ghi trong tài liệu một sản phẩm «khóa honeypot» hay quét bí mật GitHub tự động. Việc đó ở phía bạn. Tác vụ tạo thất bại vẫn không bị tính phí (llms.txt).

Q3. Chuỗi cung ứng kiểu GhostAction: cấu hình MCP và token nền tảng AI nằm trong bán kính thiệt hại.

Nhà phát triển đang phàn nàn điều gì: Bài bảo mật mô tả các vụ xâm nhập chuỗi cung ứng GitHub kiểu GhostAction (hàng trăm tài khoản/kho) chuyên săn cấu hình MCP, token nền tảng AI và khóa SSH (@morphisec). Bài kề bên cảnh báo: khi một bảng điều khiển hoặc máy chủ agent bị chiếm, khóa SSH được cấy và thông tin xác thực API bị lấy sẽ theo sau (@PacketReport1).

PoYo trả lời thế nào: Một khóa PoYo trong cấu hình MCP, máy chủ agent hoặc bí mật CI vẫn là một ví trả trước. Cách giảm đã ghi trong tài liệu:

• Đừng commit khóa. Giữ chúng ngoài frontend và kho công khai (Bắt đầu).
• Tách khóa theo môi trường với danh sách IP và trần theo giờ / theo ngày / tổng (trang khóa API).
• Ưu tiên MCP do PoYo lưu trữ với một khóa bạn kiểm soát và xoay được (Kết nối bằng MCP, Xác thực).
• Khi nghi ngờ: xoay, siết trần và IP, kiểm GET /api/user/balance, mở [email protected] nếu cần.

Tài liệu công khai không khẳng định phát hiện tự động GitHub Actions hoặc máy chủ MCP đã bị xâm nhập, và không hứa hoàn tiền cho lưu lượng đã dùng một khóa còn hiệu lực.

Q4. «llm-key-rotator» tự làm: một khóa gặp 429 thì chuyển sang khóa kế.

Nhà phát triển đang phàn nàn điều gì: Bài mã nguồn mở và mẹo đẩy các cổng nhỏ xoay khóa API khi một khóa chạm giới hạn tốc độ (@jojeangsaing). Chuyện vận hành bên cạnh coi tường RPM theo khóa và 429 của pool dùng chung là thứ che bằng thêm khóa, thay vì sửa ở lớp sản phẩm.

PoYo trả lời thế nào: Xoay khóa quanh một 429 có thể giấu sai vấn đề. Trên PoYo, hãy tách mã (mã lỗi):

Mặc định khi tạo: tối đa 20 yêu cầu /api/generate/submit mới mỗi 10 giây trên mỗi tài khoản. Vượt mức trả 429 và không vào hàng đợi. Endpoint LLM hiện không bị giới hạn tốc độ (Bắt đầu). Ưu tiên một khóa có trần đã ghi trong tài liệu hơn một trang trại bộ xoay (trang khóa API). Tài liệu mô tả không có chuyển dự phòng tự động giữa các lab. Đổi ID mô hình ở client nếu bạn cần nhà cung cấp khác. Tác vụ tạo thất bại không bị tính phí (llms.txt).

Q5. Cùng một cửa sổ dựng lại: Gemini 503 phía upstream, DeepSeek 429, tầng miễn phí cũng 429.

Nhà phát triển đang phàn nàn điều gì: Một nhật ký dựng lại liệt kê lỗi cụ thể trong một cửa sổ: gemini-4-barium → 503 / upstream không dùng được sau backoff, deepseek-v4-flash → 429, và một tuyến DeepSeek miễn phí cũng 429, rồi một lần thử lại hạ nhiệt trước khi gửi phần còn chạy (@KeyoAPI). 429 bùng của ảnh và TTS Gemini vẫn là chủ đề Reddit thường trực về hạn mức bậc tín dụng và bản xem trước (r/googlecloud, r/Bard).

PoYo trả lời thế nào: Ánh xạ lần thử lại theo mã đã ghi trong tài liệu (mã lỗi):

• 429 → hàng đợi / backoff mũ (tạo: mặc định 20 yêu cầu / 10 giây; LLM hiện không giới hạn tốc độ) (Bắt đầu).
• 402 → nạp tín dụng. Đừng coi là giới hạn tốc độ (số dư người dùng).
• 502 / 503 → upstream hoặc bận tạm thời. Backoff rồi thử lại.

Một khóa PoYo phủ chat (tương thích OpenAI / Claude Messages / gốc Gemini) cộng submit/status bất đồng bộ cho media (llms.txt, tổng quan API). Schema và giá sống của mô hình: https://poyo.ai/models/<id>/llms.txt. Với việc dài, ưu tiên webhook hơn thăm dò dày. Tài liệu không khẳng định chuyển dự phòng trong suốt giữa các lab hay một SLA pool miễn phí dùng chung đã công bố. Bắt đầu nói độ ổn định có thể thấp hơn một chút so với nhà cung cấp chính thức.

Q6. Phép tính cache của Claude: bảng điều khiển hiện số lần đọc cache bằng không, trong khi mỗi lần ghi cache tính 1,25×.

Nhà phát triển đang phàn nàn điều gì: Chủ đề tính phí API Claude cảnh báo một cache_control đặt sai chỗ có thể để số lần đọc cache bằng không trong khi mỗi lần ghi bị tính với hệ số 1,25×. «Tôi đã bật cache» vẫn có nghĩa đầu vào gần như giá đầy đủ ở mỗi lượt (@webtkdev). Riêng ra, bản beta Anthropic Message Threads được nêu như cách ngừng gửi lại toàn bộ bản ghi agent mỗi lượt (@readmodelmag).

PoYo trả lời thế nào: Chat của PoYo là tín dụng trả trước theo đầu ra thành công từ một ví, không phải gói phía người dùng trộn với sổ cache của Platform (trang chủ, llms.txt). Chọn một ID mô hình Claude (hoặc khác), gọi Chat Completions / Messages / gốc Gemini như tài liệu, và đọc giá sống tại https://poyo.ai/models/<id>/llms.txt (mô hình chat, Anthropic). Chặn agent vượt tầm với trần theo giờ / theo ngày / tổng trên từng khóa (trang khóa API). Số dư trống trả 402 (mã lỗi).

Tài liệu công khai của PoYo không ghi hệ số cache prompt của Anthropic, ngữ nghĩa Message Threads, hay một bảng «tỷ lệ trúng cache» của riêng chúng tôi. Nếu quy tắc tính phí upstream của một mô hình quan trọng với bạn, hãy kiểm trên llms.txt của mô hình đó và tài liệu của chính nhà cung cấp trước khi giả định có giảm giá.

Q7. «Tôi có thực sự nhận đúng mô hình đã trả tiền không?» Lo về tính xác thực của bộ tổng hợp.

Nhà phát triển đang phàn nàn điều gì: Người xây hỏi làm sao biết một bên bán lại hoặc bộ định tuyến (OpenRouter bị nêu tên) trả về đúng mô hình đã chọn và đã trả. Xác minh kiểu «FlashProve» của Anthropic được đặt như thứ lấp khoảng trống đó (@shlokafc, @AgentFilipHQ). Tin vào nhà cung cấp suy luận nay là yêu cầu sản phẩm, không phải chú thích.

PoYo trả lời thế nào: PoYo là một khóa API thống nhất cho ảnh, video, nhạc, 3D và chat (tổng quan API, llms.txt). Bạn truyền một ID mô hình rõ. Mỗi mô hình công bố schema và tệp giá sống tại https://poyo.ai/models/<id>/llms.txt. Media dùng một luồng bất đồng bộ submit → status / webhook. Chat dùng các endpoint đã ghi tài liệu theo dạng OpenAI / Claude / Gemini.

Điều tài liệu công khai không khẳng định hôm nay: một sản phẩm chứng thực mật mã «phản hồi này do lab X ký», chuyển dự phòng tự động và trong suốt giữa các lab, hoặc một SLA pool miễn phí đa thuê bao đã công bố. Bắt đầu đặt kỳ vọng ổn định thực tế so với nhà cung cấp chính thức. Tác vụ tạo thất bại không bị tính phí (trang chủ). Trần khóa và kiểm GET /api/user/balance (trang khóa API, số dư người dùng).

Q8. Agent nay đúc phần lớn token, và ngân sách mềm không dừng cứng một vòng vượt tầm.

Nhà phát triển đang phàn nàn điều gì: Số liệu AI doanh nghiệp 2026 của Menlo Ventures lan rất mạnh: chi AI doanh nghiệp nhảy lên, Anthropic lấy một phần lớn chi API LLM, và agent nay tạo khoảng 80% token (@guilleflorvs, @MenloVentures). Bài so sánh chi phí cho thấy khoảng cách rất lớn giữa Claude và DeepSeek trên cùng một tải (@aetherfrontier). Trên Reddit, người xây cho rằng các nhà cung cấp lớn vẫn có cảnh báo và ngân sách mềm nhưng không có trần chi tuyệt đối cứng, nên một tài khoản bị xâm nhập hoặc một vòng agent kẹt vẫn có thể in hóa đơn sáu chữ số (r/AI_Agents).

PoYo trả lời thế nào: Phép tính giá theo token không trần mức đốt hàng tháng. Số dư tín dụng và trần khóa thì có. Các kiểm soát vận hành đã ghi trong tài liệu hôm nay:

• Tín dụng trả trước không hết hạn, không đăng ký (trang chủ).
• Trần theo giờ / theo ngày / tổng trên từng khóa (trang khóa API).
• GET /api/user/balance trước các lô agent lớn (số dư người dùng).
• Coi 402 là dừng cứng, 429 là chậm lại rồi thử lại (mã lỗi).
• Đừng gửi lại mù việc tạo: lần gửi lại không được khử trùng và có thể tạo thêm một tác vụ (Bắt đầu).
• Với việc media dài, ưu tiên webhook. Tác vụ thất bại không bị tính phí (llms.txt). Media đã tạo được giữ 3 ngày. Hãy tải về sớm (Bắt đầu, mô hình video).

Không có sản phẩm «điều kiện dừng» của agent đã ghi trong tài liệu để tự cắt một vòng công cụ vượt tầm thay bạn. Hãy đặt trần khóa và dựng giới hạn bước cùng ngân sách phía client nếu bạn cần. Tài liệu công khai không hứa hoàn tiền cho các vòng đã tiêu tín dụng của một khóa còn hiệu lực.

Bảng tra nhanh

Xem mô hình và giá sống trên poyo.ai, schema qua llms.txt, và chỉ mục tài liệu đầy đủ tại docs.poyo.ai/llms.txt.