Especialização · Acesso a modelos AI
Colocamos entre as aplicações da empresa e os fornecedores de modelos um único ponto de entrada, compatível com a interface OpenAI. A partir daí são emitidas chaves separadas por projeto, com limite de despesa, lista de modelos permitidos e lista de endereços IP, e o consumo é visível por chave.
Já construídoO gate está em funcionamento e pode ser verificado de fora hoje, sem terem de acreditar na nossa palavra: o catálogo público de modelos responde 200 e lista 106 modelos marcados como ativos, e a consulta de modelos sem chave devolve 401. Por baixo dele existem duas implementações próprias: o serviço de faturação e administração (98 ficheiros TypeScript) que emite as chaves, sincroniza os limites com o gate e mantém os registos, e a nossa plataforma de assistentes, que põe em produção o reconhecimento de voz e a síntese pela mesma gate, não diretamente ao fornecedor. As reservas, ditas aqui e não no rodapé: o catálogo muda de uma hora para a outra, por isso qualquer número é escrito com a data ao lado; não existe qualquer modelo Anthropic no gate hoje, embora o nosso próprio README prometa outra coisa; e o envio automático da fatura para o sistema do Estado continua em regime de teste até à instalação do certificado.
O problema aparece pela segunda vez, não pela primeira. A primeira integração com um fornecedor de modelos é simples: uma chave, uma biblioteca, pronto. A quinta aplicação, a terceira equipa e a segunda fatura em moeda estrangeira são o momento em que ninguém já consegue responder a três perguntas banais — quem consome, quanto, e o que acontece se um script sair do controlo numa noite de sábado. A gate resolve exatamente isso: as aplicações já não falam com os fornecedores, falam com um único ponto de entrada que tem a mesma interface que a API da OpenAI, portanto, na maioria das bibliotecas, você muda o endereço base e a chave, não o código.
O que você pode verificar sozinho, neste momento, sem conta: o catálogo público de modelos da gate responde e diz o que está lá dentro. Na verificação de hoje havia 106 modelos, todos marcados como ativos — 77 modelos de texto, dos quais 48 declaram capacidades de raciocínio, 10 de áudio, 7 de imagem, 7 em tempo real, 3 de vetorização e 2 de vídeo. A mesma verificação feita por um colega uma hora e meia antes devolvia 107. Por isso o número é sempre escrito com a hora ao lado, e no site deve ser lido do endpoint, não digitado manualmente.
O controlo de custo não é um painel, é um travão. Uma chave tem teto de gasto, período de teto à escolha entre quatro, lista de modelos permitidos, lista de endereços IP aceites — até vinte, IPv4, IPv6 ou blocos — e uma bandeira de bloqueio. Quando um teto é ultrapassado, a chave é bloqueada automaticamente e o motivo é escrito nela, para que a interface possa dizer porquê, em vez de mostrar um estado silencioso. Existe também uma correção que poucos fazem: os modelos que “pensam” antes de responder consomem no fornecedor mais do que a gate vê, por isso o teto bruto enviado mais abaixo é dividido por um fator de raciocínio calculado como mediana dos últimos trinta dias do utilizador, limitado entre um e vinte. Sem esta correção, um teto de gasto seria decorativo exatamente nos modelos caros.
A parte local. O câmbio é lido do ficheiro XML oficial do Banco Nacional da Moldávia para o dia corrente, com timeout de cinco segundos e um valor de reserva da configuração quando a fonte não responde — uma gate não tem o direito de parar porque um site de câmbio esteja indisponível. A fatura fiscal é construída como XML e armazenada, com um ciclo de estados de rascunho para aceite ou rejeitada. O envio propriamente dito para o sistema do Estado é feito com certificado; enquanto o certificado não estiver instalado, o serviço fica em modo de teste: o XML é gerado e guardado, mas não é enviado. Esse é o estado real e nós o escrevemos, porque é a diferença entre “temos fatura fiscal” e “temos tudo o que é necessário para a enviar”.
Qué incluye
As aplicações mantêm as bibliotecas com que são escritas e mudam o endereço base e a chave. A gate pede chave: a consulta à lista de modelos sem cabeçalho de autorização devolve 401, verificado hoje a partir do exterior. A verificação de disponibilidade do serviço responde publicamente, com cabeçalhos de segurança aplicados (`X-Frame-Options: DENY`, política de conteúdo que proíbe incorporação).
Cada chave tem um alias derivado do utilizador e do nome dado, teto de gasto, período de teto escolhido entre um dia, sete, trinta ou noventa, lista de modelos permitidos e gasto atual. A chave é criada pela interface de administração da gate e é persistida localmente, para que as duas não se separem.
Quando o teto é excedido, a chave é bloqueada e nela ficam o momento da aplicação, o início do período e o motivo. O comentário no código diz por que foi adicionado: para que a interface possa mostrar por que uma chave está bloqueada, em vez de um estado silencioso que ninguém consegue explicar.
Até vinte entradas por chave, cada IPv4, IPv6 ou bloco CIDR, validadas à entrada. A lista não fica apenas na nossa base de dados: é enviada adiante para a gate, que a aplica de facto em cada pedido.
Os modelos que produzem passos de pensamento antes da resposta são faturados pelo fornecedor por esses passos, mas a gate não os vê. O teto bruto enviado à gate é calculado dividindo o teto do cliente pela margem aplicada e por um fator de raciocínio — a mediana observada nos últimos trinta dias para esse utilizador, com limite mínimo um e máximo vinte. Sem ele, um teto seria respeitado nos modelos baratos e ultrapassado exatamente nos caros.
O câmbio é lido do XML oficial do Banco Nacional da Moldávia para a data corrente, com interrupção após cinco segundos. Se a fonte não responder, é usado o valor de reserva da configuração. A conversão não é uma aproximação feita no escritório; é uma leitura de um documento público, com comportamento definido em caso de falha.
O documento é gerado como XML a partir de uma transação paga, é armazenado e passa por estados: rascunho, pendente de envio, enviado, aceito ou rejeitado. Existe acionamento manual e um programado diariamente para os utilizadores que têm o código fiscal preenchido.
O registo é apenas de adição e cobre 64 tipos de eventos nomeados — autenticações bem-sucedidas e falhadas, verificação em dois passos, rotações de palavra-passe, criação, bloqueio, eliminação de chaves, alteração de limite. A exportação exigida pelo Regulamento Geral sobre a Proteção de Dados produz um arquivo com as tabelas associadas a um utilizador, JSON para dados aninhados e CSV para os volumosos, com uma exceção escrita no código: das chaves exportam-se os metadados, nunca o material do token.
A nossa plataforma de assistentes encaminha o reconhecimento de voz e a síntese para a produção pela mesma gate, não diretamente para o fornecedor, com o sufixo de versão imposto no código. Quando a gate cai, nós também caímos — o que é o único arranjo em que vale a pena recomendá-la a outra pessoa.
Qué aspecto tiene
Normalmente surgem chaves pessoais em ficheiros de configuração, duas contas de fornecedor na mesma equipa e pelo menos um serviço de que ninguém se lembra que ainda está a correr. O resultado é uma lista com aplicação, chave, modelo, volume estimado — o ponto de partida para se poder falar de limites.
Muda-se o endereço base e a chave num único local, comparam-se as respostas com as anteriores e verifica-se o fluxo de erros: modelo inexistente, chave bloqueada, limite excedido, fornecedor indisponível. Só depois de a primeira aplicação se comportar de forma idêntica é que segue o resto.
Uma chave por aplicação e por ambiente, com limite, período, lista de modelos permitidos e, onde os servidores têm endereços fixos, lista de IPs. O limite é calculado com a correção para os modelos que raciocinam, caso contrário é um número que tranquiliza sem parar nada.
Câmbio da fonte oficial, fatura gerada a partir da transação paga, ciclo de estados. Verifica-se explicitamente se o certificado de envio está instalado: sem ele, os documentos são construídos e ficam em espera. É uma distinção que a contabilidade acaba por descobrir de qualquer forma, melhor na primeira semana.
Quem pode criar chaves, quem pode aumentar um limite, o que é registado, como se pede o export dos dados de um utilizador e o que se faz no dia em que uma chave vai parar onde não deve.
Os dados
Las preguntas que hace cualquiera que tenga un delegado de protección de datos — hechas aquí antes de que las haga él.
Un caso
A situação
A situação habitual numa empresa que já passou da primeira integração: várias aplicações chamam modelos com chaves emprestadas, o consumo aparece numa única fatura em moeda estrangeira, e ninguém consegue dizer que aplicação produziu o pico da semana passada.
Qué construimos
Colocámos o gate em frente às aplicações, com a interface compatível com a biblioteca que elas já usavam, e emitimos chaves separadas por projeto. Cada chave recebeu limite, período de limite, lista de modelos permitidos e, quando os servidores tinham endereços fixos, lista de IPs imposta pelo gate. O limite bruto enviado abaixo é calculado com a correção para os modelos que raciocinam: divide-se pela margem aplicada e pelo fator mediano do utilizador nos últimos trinta dias, limitado entre um e vinte.
Qué salió
O consumo lê-se por chave, portanto por aplicação. Ao ultrapassar, a chave bloqueia-se sozinha e o motivo fica escrito nela, por isso a pergunta «porque é que já não funciona» tem resposta sem que alguém abra os registos. A faturação em lei faz-se pela taxa oficial lida do XML do dia. Do exterior pode verificar-se a qualquer momento que o gate pede chave: a lista de modelos sem autorização devolve 401.
Qué no dice el caso
Um único ponto de entrada é também um único ponto de falha — projeta-se desde o início o que as aplicações fazem quando o gate não responde. O catálogo de modelos muda de hora em hora, por isso qualquer lista impressa envelhece; no dia da verificação não existia nenhum modelo Anthropic, embora a nossa documentação mais antiga o prometesse. E o envio automático da fatura para o sistema do Estado depende de um certificado instalado no servidor: sem ele, os documentos são construídos e ficam à espera.
Perguntas
Na verificação de hoje, 106, todos marcados como ativos: 77 de texto (48 deles declaram raciocínio), 10 de áudio, 7 de imagem, 7 em tempo real, 3 de vetorização e 2 de vídeo. O catálogo é público e pode ser lido sem conta. Dizemos «na verificação de hoje» porque um colega mediu 107 uma hora e meia antes, no mesmo dia. Um número sem hora ao lado não significa nada.
Não, nenhum. Filtrámos o catálogo em direto por todas as denominações dessa família: zero resultados. Dizemos isto embora o nosso próprio README prometa outra coisa — o documento é antigo, o gate é a verdade. Os modelos Gemini, por outro lado, estão presentes, assim como a síntese vocal de um fornecedor especializado e os modelos de vídeo.
No caso habitual, não: o gate expõe a interface compatível com OpenAI, portanto mudam-se o endereço de base e a chave. Os casos que exigem atenção são os que usam particularidades de um fornecedor específico — já encontramos um, em que a biblioteca específica do Azure construía endereços que o gate não entendia, e resolveu-se passando para o cliente padrão. Por isso a primeira aplicação migra sozinha, não todas ao mesmo tempo.
Com teto por chave e período de teto, mais bloqueio automático ao exceder, com o motivo escrito na chave. Além disso, o teto tem em conta o facto de que os modelos que raciocinam custam ao fornecedor mais do que a gate vê: o teto bruto é dividido por um fator calculado como mediana dos últimos trinta dias do utilizador. Sem esta correção, os tetos funcionam nos modelos baratos e falham nos caros.
Nenhuma expressa em números, e é uma posição deliberada. Não temos coletor de disponibilidade no código, e a fonte que os nossos próprios materiais citam como método de cálculo não responde à verificação de hoje. O que se pode mostrar agora: a verificação de vida do serviço responde publicamente, e a página de estado faz sondas em direto, sem histórico. Poderíamos escrever uma percentagem a qualquer momento; seria um compromisso contratual disfarçado de medição.
A conversão de moeda é feita pela taxa oficial do Banco Nacional, lida do XML do dia, com interrupção após cinco segundos e valor de reserva em caso de indisponibilidade. A fatura é construída como documento fiscal e passa por um ciclo de estados. O envio automático para o sistema do Estado exige um certificado: enquanto não estiver instalado, os documentos são gerados e ficam em espera, sem sair. Verificamos em conjunto em que regime está o sistema no dia em que começamos, porque é uma configuração de servidor, não de código.
Metadados de consumo: a chave, o modelo, o volume, o custo, o momento. A gate conta, não arquiva conversas; o que é guardado do conteúdo é a decisão da aplicação que o gera, e, se a aplicação for nossa, isso é escrito no contrato. A exportação de dados pessoais de uma pessoa produz um arquivo com o que lhe está ligado, e das chaves exporta os metadados, nunca o material do token.
São declarados por escrito, com nome, porque se tornam subcontratantes para os dados que passam por eles. Existem páginas públicas para subcontratantes, o acordo de tratamento e a proteção de dados, verificadas hoje. Uma gate que esconde os fornecedores do operador de dados não resolve um problema de conformidade, apenas o desloca mais para o fundo.
Caem as aplicações que dependem dela, incluindo as nossas — a nossa plataforma de assistentes passa o reconhecimento de voz e a síntese pela mesma gate. Não vale a pena fingir o contrário: é o compromisso de um único ponto de entrada, pago em troca de controlo, de chaves separadas e de uma única fatura. Para aplicações críticas, discute-se desde o início o que acontece na sua ausência — resposta degradada, fila ou erro limpo — porque esse é um comportamento a desenhar, não a esperar.
9 delas são código e ficheiros dos nossos repositórios. Não publicamos o nome nem a linha: juntos, numa única página, descreveriam com demasiada precisão como estão construídos sistemas que não são só nossos. Percorremo-los consigo, no repositório, a pedido — a verificação continua possível, só que se faz numa conversa.
Conte-nos o seu processo. Em conjunto decidimos o que vale a pena construir, o que podemos ligar e como verificamos o resultado.