OpenCode

Un produit complet que l'on configure

OpenCode se présente comme « The open source AI coding agent ». Écrit en TypeScript et publié sous licence MIT, il fonctionne dans le terminal, dans une application de bureau et en extension d'IDE. Le site revendique plus de 75 fournisseurs de modèles via Models.dev, la base de modèles que la même équipe maintient, modèles locaux compris, ainsi que le chargement automatique des serveurs LSP et des sessions parallèles.

Sur les données, le site affirme : « OpenCode does not store any of your code or context data ». L'éditeur propose la connexion avec un compte GitHub Copilot ou ChatGPT Plus/Pro ; ce que chaque fournisseur autorise reste sa décision, et l'épisode Anthropic ci-dessous montre ce qu'il en coûte de l'oublier.

Le comparatif de Composio (21 août 2026) résume la différence avec Pi en une phrase : « OpenCode gives you configuration control. Pi gives you runtime control. » Il relève pour OpenCode un surcoût de contexte d'environ 6 900 tokens par requête, chiffre repris d'une étude Systima, et reproche à l'interface terminal plus de 1 Go de mémoire. Réserves de lecture : trente tâches, un seul modèle (DeepSeek V4 Pro), des outils servis par le routeur MCP de Composio, qui vend un accès à plus de 1 500 outils pour agents et juge donc en partie sa propre chaîne. Revers d'un produit riche : un nouvel arrivant est productif le jour même, et chaque requête paie les défauts embarqués.

Anomaly, l'équipe derrière SST

OpenCode est développé par Anomaly, « the team behind the serverless development framework SST » selon Wikipédia. Le dépôt anomalyco/opencode a été créé le 30 avril 2025 ; Dax Raad (@thdxr) en est la figure publique. Wikipédia précise que la version actuelle, en TypeScript, est distincte d'un projet antérieur du même nom écrit en Go et archivé en septembre 2025 ; ce projet Go a continué sous le nom Crush, l'agent en terminal de Charm, avec lequel il ne faut pas confondre OpenCode. Kilo CLI, l'agent en terminal de Kilo Code, est en revanche un fork déclaré d'OpenCode : son README l'écrit et son fichier LICENSE porte le copyright d'opencode.

Au 22 octobre 2026, opencode.ai affiche plus de 215 000 étoiles GitHub, 950 contributeurs, plus de 20 000 commits et « over 16M developers every month ». L'API GitHub renvoie 219 846 étoiles et 29 383 forks le même jour, sous licence MIT. Le chiffre de développeurs mensuels est une déclaration de l'éditeur, sans méthodologie publiée.

Contexte partagé : AGENTS.md, CLAUDE.md, skills

La documentation des règles pose la convention : « You can provide custom instructions to opencode by creating an AGENTS.md file. » La commande /init écrit ce fichier. En version 1, OpenCode lit en repli les fichiers de Claude Code : « CLAUDE.md in your project directory (used if no AGENTS.md exists) », ~/.claude/CLAUDE.md en global, et le répertoire ~/.claude/skills/ ; la variable OPENCODE_DISABLE_CLAUDE_CODE_SKILLS désactive ce dernier repli. OpenCode 2 abandonne le repli sur CLAUDE.md : « OpenCode V2 recognizes AGENTS.md only », lu dans ~/.config/opencode/AGENTS.md puis dans chaque dossier du projet en remontant, et le tableau instructions de la configuration ajoute des fichiers, des motifs ou des URL, chargés après. Un CLAUDE.md seul, sans AGENTS.md à côté, est donc ignoré par la V2 ; la marche à suivre pour poser OpenCode sur un dépôt existant détaille ce point. Les skills, elles, gardent leurs replis : la documentation V2 liste .opencode/skills et ~/.config/opencode/skills, puis, par compatibilité, .claude/skills et .agents/skills, dans le projet comme dans le dossier personnel.

Un même dépôt, avec son AGENTS.md et ses skills en Markdown, se pilote donc avec Claude Code, Codex, OpenCode, Pi et Goose. Depuis sa version 2.1.277, Claude Code lit lui aussi AGENTS.md lorsqu'aucun CLAUDE.md n'existe dans le dossier courant ni au-dessus, et sa documentation recommande un CLAUDE.md réduit à la ligne @AGENTS.md pour partager un seul fichier entre outils. Faire cohabiter deux ou trois harnais sur un projet vérifie que le contexte versionné porte le travail, et pas l'outil : c'est l'argument central de la série sur les harnais ouverts.

OpenCode 2 : même commande, trois ruptures

OpenCode 2 se lance avec la même commande opencode ; la documentation V1 prévient que les deux versions « cannot be installed side by side under their default command ». L'installeur curl de la V2 remplace le binaire V1 ; une V1 installée par gestionnaire de paquets se désinstalle avant (les paquets V2 sont anomalyco/tap/opencode-v2 pour Homebrew et @opencode/cli sur npm ; « Windows package managers are not supported », des binaires autonomes x64 et ARM64 les remplacent). La documentation de migration annonce trois ruptures : l'API des plugins (un export par défaut avec un id et une fonction setup), l'API serveur, désormais consommée par le paquet @opencode/client, et le fichier cli.json. La configuration V1 reste lue et traduite en mémoire ; le champ lsp est conservé mais les serveurs LSP ne sont plus lancés. Depuis la 1.18.24 du 28 août 2026, la V1 lit à son tour les champs de configuration V2 pris en charge, ce qui permet de faire cohabiter les deux lignes sur un même dépôt. Les agents livrés en V2 sont Build (agent principal, accès hors de l'espace de travail autorisé par défaut, lecture des fichiers d'environnement sensibles soumise à approbation), Plan (explore sans modifier le projet), et deux sous-agents, General et Explore.

Au 22 octobre 2026, les deux lignes vivent en parallèle. La documentation V2 ne se dit ni bêta ni stable, et aucune date de fin de vie de la V1 n'est publiée : la documentation V1 se contente d'un bandeau « New OpenCode v2 is now available ». La V1 continue d'être publiée (dernière release le 16 octobre) et ses notes de la 1.19.2 fixent la règle : une installation 1.x ne se voit jamais proposer une 2.x comme mise à jour ordinaire, le passage reste « a separate, explicit choice » par opencode upgrade --major ou l'offre 2.0 de /update. Côté V2, les tags existent sur GitHub mais sans notes de release ; le changelog du dépôt s'arrête à la V1. Le tableau des renommages de configuration et la méthode en cinq étapes sont repris dans migrer vers OpenCode 2.

L'épisode Anthropic (janvier à mars 2026)

OpenCode permettait de se connecter aux abonnements Claude Pro et Max par OAuth. Le 20 février 2026, The Register cite la documentation mise à jour d'Anthropic : « Using OAuth tokens obtained through Claude Free, Pro, or Max accounts in any other product, tool, or service — including the Agent SDK — is not permitted and constitutes a violation of the Consumer Terms of Service. » Selon le même article, la restriction existait depuis au moins février 2024 ; Anthropic présente l'édition de février 2026 comme une clarification.

La pull request n° 18186, intitulée « anthropic legal requests » et signée thdxr, a été fusionnée le 19 mars 2026 : elle retire le plugin d'authentification Anthropic, le prompt système dédié et l'en-tête qui imitait Claude Code. Wikipédia résume : « OpenCode subsequently removed support for using Claude Pro and Max subscription credentials, while continuing to support access to models through other methods and providers. » Leçon pour une DSI : un abonnement grand public détourné est une tolérance commerciale, une clé API d'entreprise ou une passerelle interne est un contrat. Le retrait est effectif depuis la version 1.3.0 ; les modèles Claude restent accessibles par Zen (au catalogue du 22 octobre 2026 : Fable 5.1, Opus 5.5, Sonnet 5.5, Haiku 5.5 et leurs prédécesseurs), où Anthropic conserve les requêtes 30 jours. La comparaison outil par outil, fournisseurs, fichiers de contexte et intégration GitHub compris, est dans OpenCode face à Claude Code.

Déploiement en entreprise et sécurité

L'offre Enterprise repose sur une licence par siège : configuration centrale, SSO, fournisseurs de modèles désactivables, et aucune facturation des tokens quand l'entreprise branche sa propre passerelle. L'éditeur rappelle qu'il ne stocke pas le code et demande un essai interne avant toute prise de contact. Sans licence, le schéma de configuration porte déjà les listes enabled_providers et disabled_providers, qui suffisent à traduire une politique de fournisseurs. Le partage de sessions, lui, a été arrêté : les notes de la version 1.19.1 du 15 octobre 2026 indiquent « Session sharing has been discontinued. Existing share links and session-sharing commands are no longer available », et les pages de documentation du partage ont disparu ; au 22 octobre, la page d'accueil vante encore les liens de partage et la page Enterprise place toujours leur hébergement interne « on our roadmap ». Les réglages, l'intégration GitHub (opencode github install, déclencheurs /opencode et /oc) et les questions de passerelle sont traités dans déployer OpenCode en entreprise.

Le 24 septembre 2026, le projet a publié avec Datadog Security Labs l'avis GHSA-632h-h47v-g4x4 (gravité High, CVSS 7,5, sans CVE) : les installations par npm, pnpm ou Bun à partir de la 1.14.30 exposaient une exécution de code à distance quand opencode serve ou opencode web tournaient sans mot de passe ; les installations par curl, Homebrew, Chocolatey ou Scoop ne sont pas concernées, et le correctif est dans la 1.18.22. Datadog compte plus de 647 000 téléchargements de 82 versions vulnérables du 17 au 23 septembre 2026, soit 38,9 % des téléchargements de la semaine. L'avis recommande de redémarrer les processus et de vider le cache des identifiants du navigateur. Par défaut, serve écoute sur 127.0.0.1:4096 sans mot de passe ; la variable OPENCODE_SERVER_PASSWORD (utilisateur « opencode » par défaut) ajoute une authentification Basic.

Le 17 octobre 2026, le compte X du projet annonce une intrusion : « We had a security breach last night related to a large scale distillation attack that impacted 1.4% of OpenCode Console users », les utilisateurs touchés, « a subset of users who had external providers », ayant été prévenus par e-mail le matin même. OpenCode Console est le service qui centralise des clés de fournisseurs tiers pour une équipe. Selon BleepingComputer (19 octobre), l'e-mail situe la première exposition possible des clés au 17 octobre à 0 h 30 UTC et évoque un remboursement. Au 22 octobre 2026, le projet n'a publié ni page officielle ni avis GitHub sur cet incident ; le lien avec une attaque par distillation reste une affirmation de l'éditeur, sans explication publiée. Une équipe qui a confié des clés Anthropic, OpenAI ou Google à la Console les fait tourner, quel que soit l'e-mail reçu.

Go, Zen et l'économie de l'inférence

Le client est gratuit et s'utilise avec ses propres clés. La monétisation passe par deux offres : Zen, une passerelle vers des modèles testés pour le travail agentique, et Go, un forfait. La page opencode.ai/go indique au 22 octobre 2026 : Go à 10 dollars par mois, Go Plus à 40 dollars par mois avec des limites plus hautes. Les limites de Go se mesurent sur trois fenêtres : 20 % du quota sur 5 heures, 50 % sur la semaine, 100 % sur le mois, avec un plafond mensuel fixé modèle par modèle (60 dollars pour GLM-5.3-Flash en Go, 180 en Go Plus ; 15 dollars pour GLM-5.3, Kimi K3 ou Claude Haiku 5.5 en Go ; quelques modèles illimités pour une durée limitée). Claude Haiku 5.5 est, à cette date, le seul modèle Claude du forfait, et un espace de travail abonné à Go ne peut pas inviter de membres ; Zen facture au coût des fournisseurs, recharge par défaut 20 dollars sous 5 dollars de solde et prélève 4,4 % plus 0,30 dollar par transaction. Le détail des arbitrages est dans Go, Zen : ce que coûte OpenCode.

Dax Raad documente l'équation en public. Le 30 mars 2026, il explique qu'un forfait doit offrir plus que le même montant dépensé au token, ce qui suppose du volume et une négociation avec les fournisseurs d'inférence. Le 11 août 2026 : « today we tracked down and obliterated 7,013 fraudulent accounts », pour une économie estimée à 400 000 dollars par mois. Le 12 septembre 2026 : « we've had two consecutive weeks where OpenCode Go broke even ». Le 28 septembre, il décrit l'équipe Go comme celle qui a « the hardest job », face à une économie impossible et à des clients qui en veulent toujours plus. Deux semaines à l'équilibre sont un jalon, pas une preuve de pérennité ; aucun chiffre de revenu n'est publié.