Nenhum modelo substitui outro em silêncio

O modelo que fazia o papel de sênior no meu projeto pessoal ficou sem saldo no meio de duas tarefas, e as duas pararam com um erro 429, porque é isso que as regras do projeto mandam fazer.

Nesse projeto, uma sessão do Claude Code orquestra o trabalho e entrega cada tarefa ao modelo do cargo certo: o Haiku pega o que cabe em passos com arquivo e linha, o Sonnet pega o que tem especificação clara, e o sênior fica com o desenho ainda aberto e com a revisão dos diffs grandes. As imagens vêm do Codex.

A regra que mais me custou foi a de não ter fallback. Quando um modelo falha por cota ou autenticação, a tarefa para e mostra a linha do log que explica o motivo, sem repassar o trabalho para outro provider. No dia 4, com o Codex em 1% da cota, os ícones novos ficaram parados esperando a cota voltar. O Gemini só entrou dois dias depois, num cargo abaixo do Codex com escopo escrito, e mesmo assim um asset dele reprovado duas vezes sobe pro Codex, mas nada do Codex desce pra ele quando a cota aperta.

Uma troca automática deixaria o projeto andando, só que a entrega passaria a ter um autor que eu não escolhi e uma revisão que eu não pedi. Como cada imagem sai de uma chamada registrada com prompt, data e hash, eu consigo dizer de onde veio cada peça quando alguma coisa quebra, e o fallback silencioso apagaria justamente essa informação.

Quando o sênior travou, a substituição virou decisão minha: passei a versão para Mac ao Sonnet e aprovei, uma de cada vez, duas revisões só de leitura pelo Opus, que aprovaram com ressalvas, e as da versão Mac foram corrigidas antes da release. Em 7 de outubro coloquei o Opus no cargo de sênior até segunda ordem e deixei isso escrito nas regras.

Nas ferramentas de IA que vocês usam no trabalho, quando o modelo falha, vocês preferem que a tarefa pare ou que troque de modelo sozinha? Pergunto porque num projeto de uma pessoa só quem decide a troca está sempre por perto, e ainda não sei se essa regra aguenta um time inteiro.