Нужен ли отдельный ключ для Telegram-бота?

Да, боту нужен свой ключ: его трафик создают чужие люди, а значит возможны спам, флуд и слив длинных переписок в контекст. Отдельный ключ со spend limit ограничивает урон от аномалии, а история по ключу показывает стоимость бота отдельно от backend и экспериментов.

Дополните защиту обрезкой входа, max_tokens на вызов и rate limit на пользователя. При подозрительных списаниях сначала смотрите топ дорогих запросов ключа, затем ротируйте значение на backend.