OpenCode は MIT ライセンスの OSS の AI コーディングエージェントで、2026 年 10 月に 2.0 が発表されました。2.0 のインストール手順、Claude・GPT・DeepSeek・Qwen などのモデルの選び方、既定で「すべて許可」になっている権限を絞る設定、バックグラウンドサーバーの扱い、過去の脆弱性と 10 月のセキュリティ事案までをまとめます。
OpenCode は、ターミナル・デスクトップアプリ・Web で動く MIT ライセンスの OSS の AI コーディングエージェントです12。開発元の Anomaly は 2026 年 10 月 12 日に OpenCode 2.0 を発表しました3。2.0 では、1 つのバックグラウンドサーバーを TUI・Web・デスクトップが共有する形に作り直されています。この記事では、2.0 のインストールから、Claude・GPT・DeepSeek・Qwen などのモデルの選び方、権限（permissions）とポリシーで安全に使う設定までを、公式ドキュメントで確かめた範囲で説明します。2.0 の既定の権限は「ほぼすべて許可」なので、使い始める前に設定を見直すのがおすすめです。過去の脆弱性と 2026 年 10 月のセキュリティ事案も整理します。バージョン・料金・対応モデルは 2026 年 10 月時点の情報です。
OpenCode は、AI モデルにコードを読ませ、編集やシェルコマンドの実行まで任せる「AI コーディングエージェント」です。Claude Code や Codex CLI と同じ種類の道具ですが、特定の AI 企業のモデルに縛られない点が特徴です。
anomalyco/ で、2026 年 10 月 20 日時点のスター数は約 21.8 万です2opencode mini、デスクトップアプリ、Web UI14/ でつなぎ、/ で選びます。Ollama・LM Studio・vLLM のローカルモデルも自動で見つけます56MCP（Model Context Protocol）は、AI エージェントに外部ツールをつなぐ共通の規格です。仕組みは「MCP とは」で解説しています。
2.0 の全体像は下の図のとおりです。どの画面から使っても、セッション・設定・権限・ツールの実行は 1 つのバックグラウンドサービスが持ちます4。
2.0 の大きな変化は「共有のバックグラウンドサーバー」「作り直した API と SDK」「Code Mode」「バックグラウンドで動くサブエージェント」の 4 つです3。
| 項目 | 2.0 での変更 |
|---|---|
| サーバー | 1 つのバックグラウンドプロセスを TUI・Web・デスクトップが共有する。opencode api で CLI から API を呼べる |
| 他の端末から使う | opencode pair で、ブラウザやアプリを接続する 1 回限りのリンクを発行する |
| Code Mode | エージェントが JavaScript を書き、MCP サーバーや OpenAPI の呼び出しを 1 往復でまとめる。MCP サーバーは既定で Code Mode に入る |
| バックグラウンド実行 | サブエージェントとシェルコマンドを裏で動かせる。実行中の作業は Ctrl+B で裏に回せる |
| プラグイン | 80 を超える機能が内部プラグインになり、TUI プラグインが正式機能になった |
| SDK | CLI と同じコードをライブラリにした @opencode/ を公開 |
（出典: OpenCode 2.0 の発表3）
公式の移行ガイドは、意図的な破壊的変更を 3 つ挙げています8。
tui.json(c) が、グローバルの cli.json 1 つにまとまりました（自動で移行されます）それ以外の設定・エージェント定義・コマンド・スキルは、そのまま動く前提です。動かなければ互換性のバグとして報告するよう書かれています8。
npm では 1.x と 2.0 が別のパッケージとして配られています。2026 年 10 月 20 日時点の状態は次のとおりです。
| パッケージ | 系統 | latest | 初版の公開 |
|---|---|---|---|
opencode-ai | 1.x | 1.19.3（2026-10-16） | — |
@opencode/ | 2.0 | 2.0.32（2026-10-16） | 2.0.0 が 2026-09-11 |
npm install -g opencode-ai で入るのは今も 1.x です。2.0 を使うときは、次の節のコマンドで入れます。
日本の Google トレンドでは、OpenCode の検索が 2026 年 10 月 13 日の週に急に伸びました。下のグラフは、比べる基準にした GitHub Copilot との週ごとの推移です11。
| 週 | OpenCode | GitHub Copilot |
|---|---|---|
| 07/21 | 12 | 19 |
| 07/28 | 14 | 20 |
| 08/04 | 15 | 19 |
| 08/11 | 16 | 11 |
| 08/18 | 14 | 18 |
| 08/25 | 14 | 17 |
| 09/01 | 12 | 22 |
| 09/08 | 12 | 17 |
| 09/15 | 8 | 11 |
| 09/22 | 14 | 10 |
| 09/29 | 10 | 17 |
| 10/06 | 11 | 14 |
| 10/13 | 24 | 16 |
DeepSeek V4.1 Flash と Qwen3.8 は、どちらも OpenCode の定額プラン「OpenCode Go」で使えるモデルです12。つまり「2.0 の登場」と「OpenCode でどのモデルを使うか」の 2 つに関心が集まっています。2026 年 10 月 17 日には、公式からセキュリティ事案の発表もありました（後述）13。
公式ドキュメントのとおり、次の 4 段階で始めます。対応 OS は macOS・Linux・Windows（WSL を含む）です1。
1.x と 2.0 は同じ opencode コマンドを使い、既定では同時には入りません8。
opencode upgrade --major を実行する方法が案内されています3設定ファイルの場所は 1.x と同じです。移行を確かめ終えるまで、1.x の設定のコピーを取っておきます8。
使っている環境に合わせて 1 つ選びます（2026 年 10 月時点の公式の手順）1。
# curl（macOS / Linux）
curl -fsSL https://opencode.ai/v2/install | bash
# Homebrew
brew install anomalyco/tap/opencode-v2
# npm（postinstall でプラットフォーム用のバイナリを選ぶ）
npm install -g @opencode/cli
bun install -g --trust @opencode/、pnpm add -g --allow-build=@opencode/）プロジェクトのディレクトリで opencode を実行すると TUI が開きます。TUI の中で、次の 2 つを打ちます56。
/connect
/models
/ でプロバイダー（Anthropic・OpenAI・GitHub Copilot・OpenCode Go など）を選び、API キーや OAuth で認証します。/ では、つないだプロバイダーのモデルから今のセッションで使うものを選びます。ここでの選択は設定ファイルを書き換えません6。
毎回使うモデルや権限は、プロジェクト直下の opencode.jsonc に書きます。JSONC はコメントと末尾のカンマが書ける JSON です7。
{
"$schema": "https://opencode.ai/config.json",
// 新しいセッションで使う既定のモデル（provider/model の形）
"model": "anthropic/claude-sonnet-4-5",
}
設定ファイルは次の順に読まれ、後のものが優先されます7。
~/opencode.json(c)（近いディレクトリほど優先）/、Linux は /チームで決めた設定はシステムの場所に置くと、利用者やプロジェクトの設定で上書きできません7。
モデルは provider/ の形で指定します。迷ったら、ID を推測せず / の一覧から選びます。公式ドキュメントもそう勧めています6。
| 指定する場所 | 書き方 | 効く範囲 |
|---|---|---|
| TUI | / で選ぶ | 今のセッションだけ |
| 1 回の実行 | opencode run --model anthropic/ | そのコマンドだけ |
| 既定 | opencode.jsonc の "model" | 新しいセッション |
| エージェントごと | agents.<id> の設定 | そのエージェント |
同じモデルの推論の強さ（reasoning effort）などは、# の後ろにバリアント名を付けて選びます6。
opencode run --model openai/gpt-5.2#high "Review this migration plan"
low・high・max などの名前は、モデルによって使えないことがあります。存在しないバリアントを指定すると、モデルの解決エラーになります6。
Claude は / で Anthropic をつなぐほか、Amazon Bedrock や Google Vertex（google-vertex）経由でも使えます5。社内の LLM ゲートウェイを通すときは、providers.anthropic.settings.baseURL に URL を書きます5。
LiteLLM のような OpenAI 互換のプロキシで Claude を使う場合は注意が要ります。OpenCode はプロンプトキャッシュの区切りが必要だと判断できないため、モデルの compatibility.cacheFormat を設定します6。
OpenCode Go は、OpenCode チームが試したオープン系のコーディング向けモデルを使える定額プランです。月 10 ドルの Go と、月 40 ドルの Go Plus があります（2026 年 10 月時点）12。使うかどうかは任意で、OpenCode 本体は Go が無くても使えます。
/ を実行し、OpenCode Go を選んでキーを貼る/ で Go のモデルを選ぶ2026 年 10 月時点の対象には、DeepSeek V4.1 Flash・DeepSeek V4 Pro・Qwen3.8 Max・Qwen3.8 Flash・GLM-5.3・Kimi K3 などが入っています12。利用量はモデルごとに月の上限額で決まり、5 時間で月の 20%、1 週間で 50% までという枠もあります12。下のグラフは、主なモデルのトークン単価です。
| モデル | 入力（ドル） | 出力（ドル） |
|---|---|---|
| Muse Spark 1.3 Contributor | 0.1 | 0.2 |
| Qwen3.8 Flash | 0.15 | 0.47 |
| DeepSeek V4.1 Flash（オフピーク） | 0.15 | 0.6 |
| DeepSeek V4 Pro（オフピーク） | 0.66 | 1.98 |
| GLM-5.3 | 1.4 | 4.4 |
| Qwen3.8 Max | 2 | 6 |
| Kimi K3 | 3 | 15 |
単価が低いモデルほど、同じ月の上限額でたくさん使えます。ただし、上限額もモデルごとに違います（たとえば DeepSeek V4.1 Flash は月 80 ドル分、Qwen3.8 Max は 15 ドル分）12。料金と対象のモデルは変わりやすいので、契約前に公式ページを確かめてください。
Ollama・LM Studio・vLLM が既定のアドレスで動いていれば、OpenCode が自動でモデルを見つけます6。Ollama なら次のように指定します。
{
"$schema": "https://opencode.ai/config.json",
"model": "ollama/gemma3:4b",
}
ソースコードを社外に出せない場合でも、ローカルモデルなら推論を手元で済ませられます。
OpenCode を安全に使うには、権限（permissions）を絞る、ポリシーで組織として禁止する、サーバーを外に出さないの 3 つを設定します。どれも opencode.jsonc と opencode service コマンドで変えられます。
2.0 では、どのエージェントも次の基本ルールから始まります14。
[
{ "action": "*", "resource": "*", "effect": "allow" },
{ "action": "read", "resource": "*.env", "effect": "ask" },
{ "action": "read", "resource": "*.env.*", "effect": "ask" },
{ "action": "read", "resource": "*.env.example", "effect": "allow" },
]
つまり、.env を読むとき以外は、シェルの実行もファイルの編集も確認なしで進みます。プロジェクトの外のディレクトリ（external_directory）の読み書きも、既定では確認されません14。読み取り専用の plan エージェントは、~/ 以外の編集を拒否します14。
ルールは action（操作）・resource（対象）・effect（allow / ask / deny）の 3 つで書きます。上から順に照合し、最後に一致したルールが使われます。どのルールにも一致しなければ ask です14。広いルールを先に、例外を後に書くのがコツです。
公式ドキュメントの例を組み合わせた設定です。シェルは確認を挟み、git status と git diff だけ許可し、git push は拒否します。.env は読ませず、プロジェクトの外を触る前には確認します1415。
{
"$schema": "https://opencode.ai/config.json",
"permissions": [
// シェルは毎回確認し、よく使う確認系のコマンドだけ許可する
{ "action": "shell", "resource": "*", "effect": "ask" },
{ "action": "shell", "resource": "git status *", "effect": "allow" },
{ "action": "shell", "resource": "git diff *", "effect": "allow" },
{ "action": "shell", "resource": "git push *", "effect": "deny" },
// 秘密情報は読ませない（.env.example だけ許可）
{ "action": "read", "resource": "*.env", "effect": "deny" },
{ "action": "read", "resource": "*.env.*", "effect": "deny" },
{ "action": "read", "resource": "*.env.example", "effect": "allow" },
// プロジェクトの外のディレクトリは確認してから
{ "action": "external_directory", "resource": "*", "effect": "ask" },
],
"policies": [
// ポリシーの deny は、どの permissions よりも強い
{ "action": "tool.use", "resource": "shell:sudo *", "effect": "deny" },
],
}
git status * のように末尾が * のパターンは、引数なしの git status にも一致します14* は / を含む任意の文字に一致します。*.env はサブディレクトリの .env にも効きます14permission・bash・task ではなく permissions・shell・subagent と書きます14確認の場面で「Allow always」を選ぶと、そのパターンがプロジェクト用の allow ルールとして保存されます。保存した承認が、設定した deny を上書きすることはありません14。広すぎる承認は、ときどき見直して消します。
公式ドキュメントは、シェルがユーザーと同じ権限でファイル・プロセス・ネットワークを使えると警告しています14。危険なコマンドを全部拒否リストで防ぐのは無理なので、許可するコマンドを狭く決めるほうが安全です。
ポリシー（policies）は、権限よりも上で効く「必ず拒否する」ルールです。確認を出さず、許可を増やすこともありません15。
{
"policies": [
{ "action": "provider.use", "resource": "*", "effect": "deny" },
{ "action": "provider.use", "resource": "anthropic", "effect": "allow" },
{ "action": "tool.use", "resource": "shell:git push *", "effect": "deny" },
],
}
この例では、Anthropic 以外のプロバイダーを使えなくし、git push を禁止します7。システムの設定や OpenCode Console から配ったポリシーは、プロジェクトの設定より優先されます1516。
2.0 は、ユーザーごとに 1 つの共有サーバーを自動で起動します。既定では localhost だけで待ち受け、Web UI はパスワードで守られています417。安全のために次の点を守ります。
| やること | コマンド・設定 | 理由 |
|---|---|---|
| 待ち受けを localhost のままにする | opencode service set hostname 0.0.0.0 を使わない | 0.0.0.0 にすると、すべてのネットワークインターフェースで待ち受ける17 |
| インターネットに公開しない | opencode pair --remote を使わない | OpenTunnel 経由でサーバーをインターネットに公開する。初回は確認が出る17 |
| 共有サーバーを使わない | opencode service set disabled true | CLI が毎回プライベートなサーバーで動く。ペアリングは使えなくなる4 |
| 1 回だけ別のサーバーで動かす | opencode --standalone | 共有サーバーを使わずに起動する4 |
| 更新を止めない | "update": "notify"（既定） | 更新があれば知らせる。"auto" は自動で入れるが、動いているサーバーは再起動されない7 |
サーバーの場所は opencode service status で確かめられます。既定のポートは macOS・Linux・WSL が 49374、Windows が 45278 です17。
OpenCode には、ローカルで動く HTTP サーバーに関する脆弱性が過去に 3 件公開されています。どれも修正済みですが、古い版を使い続けないことが大切です。
opencode-ai 1.0.216 未満 → 1.0.2161819opencode 1.1.10 未満 → 1.1.1020opencode serve を npm・pnpm・Bun で入れた環境で使うと、他サイトからの更新リクエストで任意のパッケージを入れられた。影響する版と修正版: opencode-ai 1.14.30 以降 → 1.18.22213 件目は、opencode serve を使っていない人や、curl・Homebrew などで入れた人には、任意のパッケージを入れられる経路は当てはまらないと書かれています21。
OpenCode の公式 X アカウントは 2026 年 10 月 17 日、前夜にセキュリティ侵害があったと発表しました13。発表で分かっているのは次の点です。
2026 年 10 月 20 日時点で、GitHub の Security Advisory などの詳しい報告は確認できませんでした。何が漏れたかも、公式には発表されていません。OpenCode Console は任意のサービスで、プロバイダーのアカウントを Console のゲートウェイにつなぐ機能があります16。Console にプロバイダーを連携していた人は、公式からのメールを確認してください。念のため、連携していたプロバイダーの API キーの利用状況を見直すとよいでしょう（筆者の推奨）。
OpenCode は、手元での実装だけでなく、レビューや CI にも組み込めます。どれも公式ドキュメントにある設定です。
ファイルの編集を禁止したサブエージェントを定義すると、レビューだけを任せられます14。
{
"$schema": "https://opencode.ai/config.json",
"agents": {
"reviewer": {
"description": "Review changes without editing files",
"mode": "subagent",
"system": "Focus on correctness, security, and missing tests.",
"permissions": [{ "action": "edit", "resource": "*", "effect": "deny" }],
},
},
}
エージェントのルールは、全体のルールの後ろに足されます。親エージェントの権限を引き継ぐわけではなく、そのサブエージェント自身のルールで動きます14。
opencode run は、TUI を開かずにプロンプトを送って結果を出すコマンドです。CI では --standalone を付け、API キーをシークレットで渡します22。
name: OpenCode review
on: [pull_request]
jobs:
review:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- run: npm install --global @opencode/cli
- run: opencode run --standalone --model anthropic/claude-sonnet-4-5 "Review this repository for correctness and summarize any issues."
env:
ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
CI で動かすときも、先ほどの権限の設定をリポジトリに置いておきます。確認に答える人がいない環境では、deny にしたルールだけが確実に効きます14。
組み込みの plan エージェントはファイルを編集しません。まず plan で方針を出させ、納得してから build で実装させると、意図しない変更を減らせます14。
OpenCode と Claude Code の違いを、公式の情報で確かめられた事実だけで並べます。どちらが優れているかではなく、要件に合うかで選んでください。
同じ OSS の Codex CLI（OpenAI）は Apache-2.0 ライセンスです26。Codex CLI も model_providers でカスタムのプロバイダーを足せ、--oss を付けると Ollama や LM Studio のローカルモデルで動きます27。
権限ルールの評価の順番が違う点は、移行するときに特に注意します。Claude Code では広い deny に例外を作れませんが、OpenCode では後ろに書いた allow が前の deny に勝ちます1425。
@opencode/（npm）か curl -fsSL https:/ で入れる。opencode-ai は 1.x のまま/ と / で選ぶ。DeepSeek V4.1 Flash や Qwen3.8 は、月 10 ドルからの OpenCode Go でも使える（2026 年 10 月時点）permissions でシェルを ask にし、git push と .env を deny にする。ルールは最後に一致したものが勝つ--remote は使わない。不要なら opencode service set disabled true で止め、更新は欠かさない次にやることは、手元のリポジトリに上の opencode.jsonc を置き、plan エージェントで小さな修正方針を出させてみることです。
2.0 では、1 つのバックグラウンドサーバーを TUI・Web・デスクトップが共有し、API と SDK が作り直されました3。互換性が無くなったのはプラグイン、サーバー API、TUI の設定（cli.json に移行）の 3 点です。それ以外の設定・エージェント・コマンド・スキルは、そのまま使える前提です8。
OpenCode 本体は MIT ライセンスの OSS で、無料で使えます2。モデルの利用料は、つないだプロバイダーの料金体系によります。OpenCode Go（月 10 ドル）や Go Plus（月 40 ドル）は任意の定額プランです（2026 年 10 月時点）12。Ollama などのローカルモデルなら、API の料金はかかりません6。
使えます。/ で Anthropic をつなぐか、Amazon Bedrock や Google Vertex 経由で使います。opencode.jsonc では "model": "anthropic/ のように指定します75。
いちばん手軽なのは OpenCode Go です。Console で Go を契約し、/ で OpenCode Go を選んで API キーを貼ってから、/ で選びます12。各社の API を直接つないで使うこともできます。モデル ID は推測せず、/ の一覧に出たものを使ってください6。
OpenCode チームが試したコーディング向けのモデルを使える、OpenCode Console の定額プランです。Claude Code や Codex など、ほかのエージェントからも使えるよう案内されています12。利用量はモデルごとの月の上限額で決まり、5 時間・1 週間ごとの枠もあります12。
公式の発表では、影響したのは外部のプロバイダーを連携していた OpenCode Console 利用者の 1.4% で、対象者にはメールで知らせたとのことです13。2026 年 10 月 20 日時点で、漏れた情報の詳しい内容は公表されていません。メールが届いていないか確認し、Console にプロバイダーを連携していた場合は、そのプロバイダーの API キーの利用状況を見直すのがおすすめです。
Intro | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4
anomalyco/opencode — GitHub, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4
OpenCode 2.0 — Anomaly, 2026-10-12（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6
CLI Intro | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5
Providers | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6
Models | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12
Config | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8
Migrate from V1 | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6
opencode-ai — npm, 1.19.3 は 2026-10-16（2026-10-20 参照） ↩
@opencode/cli — npm, 2.0.0 は 2026-09-11・2.0.32 は 2026-10-16（2026-10-20 参照） ↩
Google トレンド「OpenCode」「GitHub Copilot」ほか（日本・過去 90 日） — Google, 2026-10-20 取得 ↩
Go | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9
OpenCode 公式アカウントの投稿 — OpenCode（X）, 2026-10-17（2026-10-20 参照） ↩ ↩2 ↩3
Permissions | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14 ↩15 ↩16 ↩17
Policies | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4
Console Intro | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2
Web | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3 ↩4
CVE-2026-22812 — NIST National Vulnerability Database, 2026-01-12（2026-10-20 参照） ↩
Unauthenticated HTTP Server Allows Arbitrary Command Execution（GHSA-vxw4-wv6m-9hhh） — GitHub Security Advisory, 2026-01-12（2026-10-20 参照） ↩
Malicious website can execute commands on the local system through XSS in the OpenCode web UI（GHSA-c83v-7274-4vgp） — GitHub Security Advisory, 2026-01-12（2026-10-20 参照） ↩
Cross-site OpenCode server upgrade request can install arbitrary packages for npm-based installations（GHSA-632h-h47v-g4x4） — GitHub Security Advisory, 2026-09-24（2026-10-20 参照） ↩ ↩2
Commands | OpenCode — OpenCode 公式ドキュメント（V2）, 公開日不明（2026-10-20 参照） ↩
claude-code / LICENSE.md — Anthropic（GitHub）, 公開日不明（2026-10-20 参照） ↩
Enterprise deployment overview — Claude Code 公式ドキュメント, 公開日不明（2026-10-20 参照） ↩ ↩2
Configure permissions — Claude Code 公式ドキュメント, 公開日不明（2026-10-20 参照） ↩ ↩2 ↩3
openai/codex — OpenAI（GitHub）, 公開日不明（2026-10-20 参照） ↩
Advanced Configuration — OpenAI Codex 公式ドキュメント, 公開日不明（2026-10-20 参照） ↩