{"version":1,"type":"app-review","editorialAuthor":"AppDuo Editorial Team","slug":"opencode","name":"OpenCode","aliases":["opencode.ai","sst opencode","open code"],"pages":{"vi":"https://app-duo.com/apps/opencode","en":"https://app-duo.com/en/apps/opencode"},"data":"https://app-duo.com/data/apps/opencode.json","reviewMethod":"research","reviewMethodNote":"Prepared by the AppDuo Editorial Team using cited sources. Consult the review record for the documented scope of product experience.","lastVerifiedAt":"2026-11-11","firstPublishedAt":"2026-11-11","dateModified":"2026-11-11","product":{"website":"https://opencode.ai","developer":"Anomaly","developerCountry":"US","launchYear":2025,"status":"active","categories":[{"slug":"development","name":{"vi":"Lập trình","en":"Development"}},{"slug":"ai","name":{"vi":"AI","en":"AI"}}],"platforms":["macos","windows","linux","ios","web","api"],"interfaceLanguages":["en"],"capabilities":["open-source","ai","api","integrations"],"integrations":["MCP","GitHub Copilot","ChatGPT Plus/Pro","Models.dev (200+ providers)","SDK for scripts and CI"],"support":["email","community","docs"]},"tagline":{"vi":"Agent lập trình mã nguồn mở cho terminal và desktop, dùng được nhiều model","en":"Open-source coding agent for terminal and desktop that works with many models"},"useCases":{},"verdict":{"vi":"OpenCode hợp với lập trình viên cần một agent mã nguồn mở, không phụ thuộc hãng model nào và muốn tự chọn cách trả tiền. Đổi lại, dự án còn non: riêng năm 2026 đã phải vá bốn lỗ hổng cho phép chạy lệnh trên máy người dùng, và tài liệu chỉ cho thấy giao diện tiếng Anh.","en":"OpenCode suits developers who want an open-source agent that isn't tied to one model vendor and lets them choose how to pay. The trade-offs: a young project that patched four flaws allowing command execution on users' machines in 2026 alone, and no documented interface language besides English."},"bestFor":{"vi":["Lập trình viên muốn tự do đổi model và nhà cung cấp, kể cả model chạy cục bộ","Người đã trả tiền ChatGPT Plus/Pro hoặc GitHub Copilot và muốn dùng luôn trong một agent"],"en":["Developers who want to swap models and providers freely, including local models","People already paying for ChatGPT Plus/Pro or GitHub Copilot who want to reuse it in one agent"]},"notFor":{"vi":["Nhóm cần cam kết hỗ trợ và bảo mật cấp doanh nghiệp được công bố rõ ràng","Người muốn cài xong là dùng, không muốn tự chọn và kết nối model"],"en":["Teams that need clearly published enterprise support and security commitments","Anyone who wants a ready-to-go tool without choosing and connecting models themselves"]},"pros":{"vi":[{"text":"Mã nguồn mở giấy phép MIT; kết nối hơn 200 nhà cung cấp model qua Models.dev, kể cả model chạy cục bộ (theo trang chủ)","sourceIds":[]},{"text":"Có bản terminal, desktop (macOS, Windows, Linux), web và SDK; app iPhone qua TestFlight","sourceIds":[]},{"text":"Hỗ trợ MCP, plugin, agent tuỳ chỉnh, skill viết bằng SKILL.md, lệnh slash và phân quyền thao tác","sourceIds":[]},{"text":"Phần mềm miễn phí; gói Go 10 USD/tháng hoặc Zen trả theo mức dùng, Go có thể được hoàn tiền trong 14 ngày nếu gần như chưa dùng","sourceIds":[]}],"en":[{"text":"MIT-licensed open source; 200+ model providers via Models.dev, including local models (per the home page)","sourceIds":[]},{"text":"Terminal, desktop (macOS, Windows, Linux), web and SDK, plus an iPhone app via TestFlight","sourceIds":[]},{"text":"MCP, plugins, custom agents, SKILL.md skills, slash commands and per-action permissions","sourceIds":[]},{"text":"Free software; Go at $10/month or pay-as-you-go Zen, with possible Go refunds within 14 days if almost unused","sourceIds":[]}]},"cons":{"vi":[{"text":"Năm 2026 lộ bốn lỗ hổng cho phép chạy lệnh trên máy người dùng, trong đó CVE-2026-22813 mức nghiêm trọng (Critical); tất cả đã vá, nên cần luôn cập nhật bản mới","sourceIds":[]},{"text":"Không còn đăng nhập trực tiếp gói Claude (gỡ từ 2/2026); muốn dùng Claude phải qua khoá API hoặc Claude Code cài riêng","sourceIds":[]},{"text":"Hạn mức Go chỉ là ước tính và chênh nhau nhiều giữa các model","sourceIds":[]},{"text":"Chưa có điểm đánh giá người dùng trên kho ứng dụng hay trang đánh giá","sourceIds":[]}],"en":[{"text":"Four flaws allowing command execution on users' machines surfaced in 2026, including the Critical-rated CVE-2026-22813; all are patched, so staying up to date matters","sourceIds":[]},{"text":"Direct Claude subscription login was removed in February 2026; Claude now needs an API key or a separately installed Claude Code","sourceIds":[]},{"text":"Go limits are estimates and vary widely between models","sourceIds":[]},{"text":"No user ratings on app stores or review sites","sourceIds":[]}]},"scores":{"overall":7,"scale":10,"criteria":[{"criterion":"ease-of-use","score":6.5,"rationale":{"vi":"Cài được bằng nhiều cách (curl, npm, Homebrew…) và có bản desktop, nhưng phải tự kết nối model; tài liệu chỉ cho thấy giao diện tiếng Anh.","en":"Many install routes (curl, npm, Homebrew, etc.) and a desktop app, but you connect models yourself, and only an English interface is documented."},"sourceIds":[]},{"criterion":"features","score":8,"rationale":{"vi":"Chạy nhiều agent song song trên cùng dự án, MCP, plugin, agent và skill tuỳ chỉnh, hoàn tác bằng /undo, SDK; phạm vi tính năng ngang các agent lập trình hàng đầu.","en":"Parallel agents on one project, MCP, plugins, custom agents and skills, /undo and an SDK; scope comparable to leading coding agents."},"sourceIds":[]},{"criterion":"value","score":8,"rationale":{"vi":"Phần mềm miễn phí, dùng được khoá API riêng hoặc gói đang trả, gói Go từ 10 USD/tháng; trừ điểm vì hạn mức chỉ là ước tính và Zen tính thêm phí nạp 4,6% + 0,31 USD.","en":"Free software that works with your own keys or existing plans, with Go from $10/month; held back by estimate-only limits and Zen's 4.6% + $0.31 top-up fee."},"sourceIds":[]},{"criterion":"performance","score":7,"rationale":{"vi":"Chất lượng phụ thuộc model bạn chọn. Changelog cho thấy bản mới ra dày (từ 2.2.0 đến 2.2.6 trong khoảng 10 ngày); chưa có benchmark độc lập để so sánh.","en":"Quality depends on the model you pick. The changelog shows a fast release pace (2.2.0 to 2.2.6 in about 10 days); no independent benchmarks were found."},"sourceIds":[]},{"criterion":"support","score":6.5,"rationale":{"vi":"Có tài liệu và email help@anoma.ly nhưng không công bố thời gian phản hồi. Người báo CVE-2026-22812 cho biết đã email support@sst.dev ngày 17/11/2025 mà không được trả lời; ngược lại, Datadog ghi nhận Anomaly vá nhanh và trao đổi cởi mở với lỗi họ báo tháng 8/2026.","en":"Docs and help@anoma.ly email, with no published response time. The CVE-2026-22812 reporter says an email to support@sst.dev on Nov 17, 2025 went unanswered; by contrast, Datadog credited Anomaly with quick patching and open communication on the flaw it reported in August 2026."},"sourceIds":[]},{"criterion":"privacy","score":6,"rationale":{"vi":"Chính sách nêu không lưu prompt, website không dùng phân tích bên thứ ba, Zen nhìn chung không lưu hay huấn luyện trên dữ liệu (trừ vài model miễn phí). Trừ điểm vì năm 2026 có bốn lỗ hổng cho phép chạy lệnh qua máy chủ cục bộ, giao diện web hoặc luồng MCP OAuth, dù đều đã vá.","en":"The policy says prompts aren't stored, the website uses no third-party analytics, and Zen generally avoids retention and training (except some free models). Marked down for four 2026 flaws that allowed command execution through the local server, web UI or MCP OAuth flow, all since patched."},"sourceIds":[]}]},"pricing":{"model":"open-source","currency":"USD","startingPrice":10,"startingPriceByCurrency":{"USD":{"price":10,"audience":"personal"}},"plans":[{"name":"OpenCode (mã nguồn mở)","audience":"personal","priceMonthly":0,"priceYearlyPerMonth":null,"unit":"flat","limits":{"vi":"Giấy phép MIT, miễn phí. Dùng khoá API của bạn hoặc đăng nhập gói đang trả (ChatGPT Plus/Pro, GitHub Copilot). Kèm vài model miễn phí có thời hạn, không cần tài khoản.","en":"MIT-licensed and free. Bring your own API keys or sign in with a plan you already pay for (ChatGPT Plus/Pro, GitHub Copilot). Includes some models that are free for a limited time, no account needed."},"sourceIds":["s2"]},{"name":"Go","audience":"personal","priceMonthly":10,"priceYearlyPerMonth":null,"unit":"flat","limits":{"vi":"10 USD/tháng, chỉ thanh toán theo tháng. Gói cố định cho 32 model chọn lọc. Hạn mức tính theo khung 5 giờ, tuần và tháng; trang giá ước tính khoảng 110 yêu cầu mỗi 5 giờ với Kimi K3 và 3.850 yêu cầu với Claude Haiku 5.5. Hết hạn mức thì dùng tiếp bằng tín dụng nạp thêm.","en":"$10/month, billed monthly only. Fixed subscription for 32 curated models. Limits apply over 5-hour, weekly and monthly windows; the pricing page estimates about 110 requests per 5 hours with Kimi K3 and 3,850 with Claude Haiku 5.5. Once you hit the limits, requests draw on added credit."},"sourceIds":["s2"]},{"name":"Go Plus","audience":"personal","priceMonthly":40,"priceYearlyPerMonth":null,"unit":"flat","limits":{"vi":"40 USD/tháng. Như Go nhưng hạn mức cao hơn (khoảng 440 yêu cầu mỗi 5 giờ với Kimi K3). Trang giá ghi rõ các con số chỉ là ước tính theo mức dùng thông thường.","en":"$40/month. Go with higher limits (about 440 requests per 5 hours with Kimi K3). The page says figures are estimates based on typical usage."},"sourceIds":["s2"]},{"name":"Go Teams","audience":"business","priceMonthly":null,"priceYearlyPerMonth":null,"unit":"per-user","limits":{"vi":"Có trên trang giá nhưng chưa công bố giá hay cách tính theo người dùng; Extra Usage bật sẵn.","en":"Listed on the pricing page with no published price or seat pricing; Extra Usage is on by default."},"sourceIds":["s2"]},{"name":"Zen (trả theo dùng)","audience":"api","priceMonthly":null,"priceYearlyPerMonth":null,"unit":"flat","limits":{"vi":"Trả theo mức dùng, giá niêm yết theo 1 triệu token, trừ tiền theo từng yêu cầu. Mỗi lần nạp tín dụng mất thêm phí xử lý 4,6% + 0,31 USD.","en":"Pay as you go, priced per 1M tokens and charged per request. Each credit purchase carries a 4.6% + $0.31 processing fee."},"sourceIds":["s2"]}],"vietnamPlans":[],"vietnamPricingSource":null,"usdPlans":[],"usdPricingSource":null,"freeLimits":{"vi":"Một số model miễn phí trong thời gian giới hạn, chẳng hạn LongCat 2.5 Free tối đa 100 yêu cầu/ngày; vài model miễn phí không dùng được ở một số quốc gia. Muốn ẩn các model này, đặt OPENCODE_DISABLE_FREE_MODELS=1.","en":"Some models are free for a limited time, e.g. LongCat 2.5 Free at 100 requests/day; some free models are unavailable in certain countries. Set OPENCODE_DISABLE_FREE_MODELS=1 to hide them."},"trialDays":null,"trialCardRequired":false,"refund":{"vi":"Gói Go: có thể được hoàn tiền nếu yêu cầu trong 14 ngày kể từ ngày bị trừ tiền và gần như chưa dùng hạn mức của kỳ đó. Gửi email tới help@anoma.ly, tiêu đề \"Go refund\". Tài liệu Zen không nói về hoàn tiền.","en":"Go: you may qualify for a refund if you ask within 14 days of the charge and have used almost none of that period's allowance. Email help@anoma.ly with the subject \"Go refund\". The Zen docs state no refund policy."},"pricingUrl":"https://opencode.ai/go","sourceIds":["s2"]},"privacy":{"vi":"Theo chính sách quyền riêng tư (hiệu lực từ 9/11/2026), OpenCode chuyển thẳng prompt tới nhà cung cấp model và không lưu lại, trừ phiên của agent chạy trên máy chủ OpenCode (xoá sau 30 ngày kể từ lần hoạt động cuối). Website opencode.ai dùng cookie và tự thu thập số liệu phân tích, không dùng dịch vụ phân tích bên thứ ba. Với Zen, tài liệu nêu các nhà cung cấp nhìn chung không lưu dữ liệu và không dùng để huấn luyện, nhưng có ngoại lệ: một số model miễn phí có thể dùng dữ liệu để cải thiện model, còn API của OpenAI và Anthropic giữ yêu cầu 30 ngày. Nếu dùng khoá API riêng, điều khoản của nhà cung cấp model sẽ áp dụng.","en":"Per the privacy policy (effective Nov 9, 2026), prompts are passed through to the upstream model provider and not stored, except for hosted agent sessions (deleted 30 days after last activity). opencode.ai uses cookies and first-party analytics, with no third-party analytics services. For Zen, the docs say providers generally follow a zero-retention, no-training policy, with exceptions: some free models may use data to improve the model, and the OpenAI and Anthropic APIs retain requests for 30 days. With your own API keys, the model provider's terms apply."},"controversies":{"researchedAt":"2026-11-11","items":[{"date":"2026-10-19","kind":"security","severity":"medium","status":"resolved","title":{"vi":"Lỗi thực thi mã qua MCP OAuth trên Windows/WSL (bản 1.0.137 đến 1.18.32)","en":"MCP OAuth code-execution flaw on Windows/WSL (versions 1.0.137 to 1.18.32)"},"summary":{"vi":"Theo Pillar Security (qua DeepInspect), máy chủ MCP từ xa do kẻ tấn công kiểm soát có thể chạy mã trên máy Windows và WSL. Lỗi đã vá ở bản 1.18.33.","en":"Per Pillar Security (via DeepInspect), an attacker-controlled remote MCP server could execute code on Windows and WSL. Fixed in 1.18.33."},"details":{"vi":"Theo trang của DeepInspect (ngày 19/10/2026), dữ liệu máy chủ MCP từ xa trả về trong bước xác thực OAuth có thể lọt vào một điểm chèn lệnh hệ điều hành; sau khi kết nối MCP bắt đầu, kẻ tấn công không cần người dùng thao tác thêm. Pillar Security đề xuất điểm CVSS 3.1 là 9,8. Anomaly phát hành bản 1.18.33 ngày 28/9/2026, trước khi nghiên cứu được công bố, nhưng không có mã CVE hay advisory nào. Người dùng nên nâng cấp lên 1.18.33 trở lên.","en":"DeepInspect (page dated Oct 19, 2026) describes data returned by a remote MCP server during OAuth authentication reaching an OS command injection sink, with no further user interaction needed once the MCP connection starts. Pillar Security proposed a CVSS 3.1 score of 9.8. Anomaly released 1.18.33 on Sep 28, 2026, before the research was disclosed; no CVE or vendor advisory was issued. Users should upgrade to 1.18.33 or later."},"vendorResponse":{"vi":"Theo DeepInspect, Anomaly vá lỗi ở bản 1.18.33 trước khi Pillar Security công bố nhưng không đăng advisory.","en":"Per DeepInspect, Anomaly shipped the fix in 1.18.33 before Pillar Security's disclosure but published no advisory."},"sources":[{"label":"DeepInspect: OpenCode MCP OAuth remote code execution","url":"https://www.deepinspect.ai/mcp-security-incidents/opencode-mcp-oauth-remote-code-execution","kind":"press"}],"sourceIds":["s13"]},{"date":"2026-09-24","kind":"security","severity":"medium","status":"resolved","title":{"vi":"Lỗi endpoint nâng cấp cho phép website cài gói npm tuỳ ý (bản 1.14.30 đến 1.18.21)","en":"Upgrade endpoint let websites install arbitrary npm packages (1.14.30 to 1.18.21)"},"summary":{"vi":"Theo Datadog Security Labs, khi chạy opencode serve hoặc opencode web không đặt mật khẩu và cài OpenCode qua npm, pnpm hoặc Bun, một trang web độc hại có thể khiến máy cài gói npm của kẻ tấn công và chạy mã. Đã vá ở 1.18.22.","en":"Per Datadog Security Labs, with opencode serve or opencode web running without a password and OpenCode installed via npm, pnpm or Bun, a malicious webpage could make the machine install an attacker's npm package and run its code. Fixed in 1.18.22."},"details":{"vi":"Bài của Datadog Security Labs (24/9/2026) cho biết endpoint /global/upgrade nhận mục tiêu cài đặt tuỳ ý và xử lý sai kiểu nội dung của yêu cầu. Một trang web độc hại có thể khiến trình duyệt gửi form POST tới máy chủ cục bộ; máy chủ cài gói npm do kẻ tấn công lưu trữ và script preinstall của gói chạy ngay trên máy. Lỗi xuất hiện từ bản 1.14.30 (30/4/2026). Datadog báo qua GitHub ngày 11/8/2026, Anomaly vá ở 1.18.22 ngày 24/8/2026 và đề nghị hoãn công bố một tháng. Advisory GHSA-632h-h47v-g4x4 xếp mức cao (CVSS 7.5) và nêu bản cài qua curl, Homebrew, Chocolatey hoặc Scoop không bị ảnh hưởng.","en":"Datadog Security Labs (Sep 24, 2026) reports that the /global/upgrade endpoint accepted arbitrary install targets and mishandled request content types. A malicious webpage could make the browser send a form POST to the local server, which then installed an attacker-hosted npm package whose preinstall script ran on the machine. The bug shipped in 1.14.30 (Apr 30, 2026). Datadog reported it via GitHub on Aug 11, 2026; Anomaly released the fix in 1.18.22 on Aug 24, 2026 and asked for a one-month publication delay. Advisory GHSA-632h-h47v-g4x4 rates it High (CVSS 7.5) and says installs via curl, Homebrew, Chocolatey or Scoop are not affected."},"vendorResponse":{"vi":"Anomaly vá lỗi khoảng hai tuần sau khi nhận báo cáo và đăng advisory. Theo Datadog, công ty không xin mã CVE vì cho rằng CVE cho các báo cáo qua GitHub Security Advisories khuyến khích nhiều báo cáo kém chất lượng.","en":"Anomaly fixed it about two weeks after the report and published an advisory. Per Datadog, it chose not to request a CVE, arguing that CVEs for GitHub Security Advisory reports encourage many low-quality submissions."},"sources":[{"label":"Datadog Security Labs: OpenCode upgrade remote code execution","url":"https://securitylabs.datadoghq.com/articles/opencode-upgrade-remote-code-execution/","kind":"press"},{"label":"OpenCode security advisory GHSA-632h-h47v-g4x4","url":"https://github.com/anomalyco/opencode/security/advisories/GHSA-632h-h47v-g4x4","kind":"official"}],"sourceIds":["s11","s10"]},{"date":"2026-01-12","kind":"security","severity":"medium","status":"resolved","title":{"vi":"CVE-2026-22812 và CVE-2026-22813: website độc hại có thể chạy lệnh trên máy người dùng","en":"CVE-2026-22812 and CVE-2026-22813: websites could run commands on users' machines"},"summary":{"vi":"Ngày 12/1/2026, hai advisory trên GitHub công bố lỗi máy chủ HTTP không xác thực (mức cao, CVSS 8.8) và lỗi XSS trên giao diện web (mức nghiêm trọng, CVSS 9.4), đều cho phép chạy lệnh trên máy người dùng. Đã vá ở bản 1.0.216 và 1.1.10.","en":"On Jan 12, 2026, two GitHub advisories disclosed an unauthenticated HTTP server (High, CVSS 8.8) and a web UI XSS flaw (Critical, CVSS 9.4), both allowing command execution on users' machines. Fixed in 1.0.216 and 1.1.10."},"details":{"vi":"Theo advisory GHSA-vxw4-wv6m-9hhh, OpenCode tự khởi động một máy chủ HTTP không có xác thực; tiến trình bất kỳ trên máy, hoặc website nhờ cấu hình CORS lỏng, có thể gọi tới để chạy lệnh shell với quyền người dùng. Với cờ --mdns, máy chủ mở trên 0.0.0.0 và lộ ra mạng nội bộ. Người báo lỗi (CyberShadow) cho biết đã email support@sst.dev ngày 17/11/2025 theo chính sách bảo mật của dự án nhưng không nhận được phản hồi. Advisory thứ hai, GHSA-c83v-7274-4vgp (người báo: AlbertSPedersen), mô tả cách website lợi dụng tham số đổi địa chỉ máy chủ của giao diện web để chạy JavaScript trên localhost:4096 (trình hiển thị markdown không lọc HTML), rồi gọi các endpoint /pty/ để chạy lệnh. Cả hai advisory do thdxr đăng trên repo anomalyco/opencode.","en":"Advisory GHSA-vxw4-wv6m-9hhh states OpenCode auto-started an unauthenticated HTTP server that any local process, or any website via permissive CORS, could use to run shell commands as the user; the --mdns flag binds it to 0.0.0.0, exposing it to the local network. The reporter (CyberShadow) says they emailed support@sst.dev on Nov 17, 2025 under the project's security policy and got no response. The second advisory, GHSA-c83v-7274-4vgp (reported by AlbertSPedersen), describes a website abusing the web UI's server-URL override to run JavaScript on localhost:4096 (the markdown renderer did not sanitise HTML), then calling the /pty/ endpoints to run commands. Both advisories were published by thdxr on the anomalyco/opencode repo."},"vendorResponse":{"vi":"Anomaly phát hành bản vá 1.0.216 và 1.1.10, đăng cả hai advisory trên repo chính thức.","en":"Anomaly shipped fixes in 1.0.216 and 1.1.10 and published both advisories on its official repo."},"sources":[{"label":"GitHub Advisory GHSA-vxw4-wv6m-9hhh (CVE-2026-22812)","url":"https://github.com/advisories/GHSA-vxw4-wv6m-9hhh","kind":"official"},{"label":"GitHub Advisory GHSA-c83v-7274-4vgp (CVE-2026-22813)","url":"https://github.com/advisories/GHSA-c83v-7274-4vgp","kind":"official"}],"sourceIds":["s8","s9"]},{"date":"2026-01-09","kind":"other","severity":"medium","status":"confirmed","title":{"vi":"Anthropic chặn OpenCode đăng nhập gói Claude qua OAuth","en":"Anthropic blocks Claude subscription OAuth access from OpenCode"},"summary":{"vi":"Theo Shareuhack, các bản OpenCode đầu tiên giả header của Claude Code để đăng nhập Claude qua OAuth; Anthropic chặn từ 9/1/2026 và cập nhật tài liệu ngày 19/2/2026. OpenCode đã gỡ mã liên quan.","en":"Per Shareuhack, early OpenCode versions spoofed a Claude Code header to reach Claude via OAuth; Anthropic blocked this from Jan 9, 2026 and updated its docs on Feb 19, 2026. OpenCode removed the related code."},"details":{"vi":"Theo Shareuhack, các bản OpenCode đầu tiên gửi header beta claude-code-20250219 để máy chủ Anthropic coi yêu cầu như đến từ Claude Code chính thức. Ngày 9/1/2026 Anthropic bật biện pháp chặn phía máy chủ; Thariq Shihipar của Anthropic nói công ty đã \"tightened our safeguards against spoofing the Claude Code harness\", và một số tài khoản bị khoá nhầm đã được mở lại. Ngày 19/2/2026 Anthropic thêm vào tài liệu quy định không được dùng token OAuth của gói Free, Pro, Max trong công cụ bên thứ ba; cùng ngày, commit 973715f của OpenCode gỡ header này, plugin xác thực Anthropic và tệp prompt riêng cho Anthropic. Bài viết không nêu vụ kiện nào và không trích phát biểu chính thức của OpenCode. AppDuo chưa đối chiếu tài liệu gốc của Anthropic.","en":"Shareuhack reports that early OpenCode versions sent the claude-code-20250219 beta header so Anthropic's servers treated requests as coming from the official Claude Code CLI. On Jan 9, 2026 Anthropic switched on server-side blocking; Anthropic's Thariq Shihipar said it had \"tightened our safeguards against spoofing the Claude Code harness\", and some accounts banned by mistake were reinstated. On Feb 19, 2026 Anthropic added docs saying Free, Pro and Max OAuth tokens may not be used in third-party tools; the same day, OpenCode commit 973715f removed the header, the built-in Anthropic auth plugin and an Anthropic-specific prompt file. The article reports no lawsuit and quotes no formal OpenCode statement. Anthropic's primary documents were not checked."},"vendorResponse":{"vi":"Theo Shareuhack, phản hồi công khai của OpenCode là commit ngày 19/2/2026 gỡ mã OAuth của Claude.","en":"Per Shareuhack, OpenCode's public response was a Feb 19, 2026 commit removing its Claude OAuth code."},"sources":[{"label":"Shareuhack: OpenCode Banned by Anthropic","url":"https://www.shareuhack.com/en/posts/opencode-anthropic-legal-controversy-2026","kind":"press"}],"sourceIds":["s12"]}]},"userRatings":[],"history":[{"date":"2026-01-09","type":"other","note":{"vi":"Anthropic bật biện pháp phía máy chủ chặn truy cập OAuth không chính thức vào Claude, ảnh hưởng tới OpenCode (theo Shareuhack).","en":"Anthropic deploys server-side protections blocking unofficial OAuth access to Claude, affecting OpenCode (per Shareuhack)."},"sourceIds":["s12"]},{"date":"2026-01-12","type":"other","note":{"vi":"Công bố CVE-2026-22812 và CVE-2026-22813; bản 1.0.216 và 1.1.10 vá lỗi máy chủ HTTP không xác thực và lỗi XSS trên giao diện web.","en":"CVE-2026-22812 and CVE-2026-22813 published; versions 1.0.216 and 1.1.10 fix the unauthenticated HTTP server and web UI XSS flaws."},"sourceIds":["s8"]},{"date":"2026-02-19","type":"other","note":{"vi":"Anthropic thêm vào tài liệu quy định cấm dùng OAuth của gói Claude trong công cụ bên thứ ba; cùng ngày OpenCode gỡ mã OAuth của Claude (theo Shareuhack).","en":"Anthropic documents a ban on Claude plan OAuth in third-party tools; the same day OpenCode removes its Claude OAuth code (per Shareuhack)."},"sourceIds":["s12"]},{"date":"2026-08-24","type":"other","note":{"vi":"Bản 1.18.22 vá lỗi endpoint nâng cấp cho phép website cài gói npm tuỳ ý (theo Datadog Security Labs).","en":"Version 1.18.22 fixes an upgrade-endpoint flaw that let websites install arbitrary npm packages (per Datadog Security Labs)."},"sourceIds":["s11"]},{"date":"2026-09-28","type":"other","note":{"vi":"Bản 1.18.33 vá lỗi thực thi mã qua luồng MCP OAuth trên Windows/WSL (theo DeepInspect).","en":"Version 1.18.33 fixes a code-execution flaw in the MCP OAuth flow on Windows/WSL (per DeepInspect)."},"sourceIds":["s13"]},{"date":"2026-10-27","type":"feature","note":{"vi":"Bản 2.2.0: plugin desktop (thử nghiệm) và giao diện desktop mới; ngừng phát hành OpenCode GitHub Action.","en":"v2.2.0: experimental Desktop plugins and a refreshed Desktop app; the OpenCode GitHub Action is no longer published."},"sourceIds":["s6"]},{"date":"2026-10-30","type":"feature","note":{"vi":"Bản 2.2.3: dùng Claude Code trong OpenCode bằng cách chọn Claude Agent trong /connect.","en":"v2.2.3: use Claude Code inside OpenCode by selecting Claude Agent in /connect."},"sourceIds":["s6"]},{"date":"2026-11-06","type":"feature","note":{"vi":"Bản 2.2.6: dùng chung kết nối MCP giữa các dự án, chạy script trong worktree, thanh thao tác cảm ứng trên điện thoại và máy tính bảng.","en":"v2.2.6: shared MCP connections across projects, scripted runs in worktrees and a touch composer dock on phones and tablets."},"sourceIds":["s6"]}],"review":{"vi":"## OpenCode là gì\nOpenCode là agent lập trình mã nguồn mở của Anomaly, phát hành theo giấy phép MIT. Theo trang chủ, công cụ chạy trên terminal, desktop (macOS, Windows, Linux) và web; app iPhone đang phát hành qua TestFlight, bản Android ghi là sắp ra. Repo GitHub hiện có khoảng 226.000 sao.\n\n## Cách hoạt động và tính năng\nBạn kết nối model bằng lệnh /connect: khoá API của mình, gói đang trả như ChatGPT Plus/Pro hay GitHub Copilot, hoặc dịch vụ Go/Zen của OpenCode. Có thể chạy nhiều agent song song trên cùng dự án, gắn máy chủ MCP, viết plugin, tạo agent và lệnh riêng, dạy agent quy trình qua tệp SKILL.md, chọn thao tác nào cần duyệt và hoàn tác bằng /undo. Lệnh opencode pair tạo liên kết kết nối dùng một lần, hết hạn sau 5 phút.\n\n## Giá và giá trị\nBản thân phần mềm miễn phí. Muốn OpenCode lo luôn phần model thì có Go (10 USD/tháng, 32 model chọn lọc), Go Plus (40 USD/tháng, hạn mức cao hơn), Go Teams chưa công bố giá, và Zen tính theo token, mỗi lần nạp tiền mất thêm 4,6% + 0,31 USD phí xử lý. Trang giá chỉ đưa số yêu cầu ước tính và ghi rõ là để minh hoạ, nên mức dùng thực tế có thể khác. OpenCode không công bố giá bằng VND.\n\n## So với lựa chọn khác\nOpenCode cạnh tranh với Claude Code, OpenAI Codex, Cline và Kilo Code. Khác biệt lớn nhất là mã nguồn mở và không phụ thuộc một hãng model. Cần cân nhắc hai điểm: từ tháng 1/2026 Anthropic chặn đăng nhập gói Claude qua OAuth từ công cụ bên thứ ba (bản 2.2.3 cuối tháng 10/2026 thêm cách dùng Claude thông qua Claude Code cài riêng), và trong năm 2026 công cụ đã phải vá bốn lỗ hổng cho phép chạy lệnh, có một lỗi mức nghiêm trọng.","en":"## What OpenCode is\nOpenCode is an open-source coding agent from Anomaly, released under the MIT license. Per its home page it runs in the terminal, as a desktop app (macOS, Windows, Linux) and on the web, with an iPhone app via TestFlight and Android listed as coming soon. The GitHub repo has about 226,000 stars.\n\n## How it works and key features\nYou connect models with /connect: your own API keys, a plan you already pay for such as ChatGPT Plus/Pro or GitHub Copilot, or OpenCode's Go/Zen services. You can run several agents in parallel on one project, attach MCP servers, write plugins, create custom agents and commands, teach agents workflows in SKILL.md files, choose which actions need approval and roll back with /undo. The opencode pair command issues a one-time connection link that expires after 5 minutes.\n\n## Pricing and value\nThe software itself is free. If you want OpenCode to supply the models too, there is Go ($10/month, 32 curated models), Go Plus ($40/month, higher limits), Go Teams without a published price, and Zen, billed per token with a 4.6% + $0.31 fee on each credit purchase. The pricing page gives only estimated request counts and calls them illustrative, so real usage may differ. No official VND prices are published.\n\n## Versus alternatives\nOpenCode competes with Claude Code, OpenAI Codex, Cline and Kilo Code. Its main distinction is being open source and not tied to one model vendor. Two points to weigh: since January 2026 Anthropic has blocked Claude subscription OAuth from third-party tools (v2.2.3 in late October 2026 added a route through a separately installed Claude Code), and in 2026 the tool patched four command-execution flaws, one rated Critical."},"faq":{"vi":[{"question":"OpenCode có miễn phí không?","answer":"Phần mềm là mã nguồn mở giấy phép MIT, dùng miễn phí. Tiền model thì vẫn phải trả: qua khoá API riêng, gói đang có, gói Go từ 10 USD/tháng hoặc Zen trả theo mức dùng. Một số model miễn phí trong thời gian giới hạn."},{"question":"OpenCode có dùng được với gói Claude Pro/Max không?","answer":"Theo Shareuhack, Anthropic chặn đăng nhập OAuth từ OpenCode từ 9/1/2026 và OpenCode gỡ mã liên quan ngày 19/2/2026. Từ bản 2.2.3 (30/10/2026), changelog hướng dẫn cài Claude Code, đăng nhập bằng claude auth login rồi chọn Claude Agent trong /connect; changelog không nói rõ cách này dùng được với những gói Claude nào. Ngoài ra vẫn có thể dùng khoá API Anthropic trả theo mức dùng."},{"question":"OpenCode có lưu mã nguồn hay prompt của tôi không?","answer":"Theo chính sách quyền riêng tư, OpenCode chuyển prompt tới nhà cung cấp model và không lưu lại, trừ phiên của agent chạy trên máy chủ OpenCode (xoá sau 30 ngày không hoạt động). Nhà cung cấp model có chính sách riêng; riêng với Zen, API của OpenAI và Anthropic giữ yêu cầu 30 ngày."},{"question":"OpenCode có lỗ hổng bảo mật nào đáng lo không?","answer":"Có. Năm 2026 có bốn lỗ hổng cho phép website hoặc máy chủ MCP độc hại chạy lệnh trên máy người dùng: CVE-2026-22812 (vá ở 1.0.216), CVE-2026-22813 (vá ở 1.1.10), lỗi endpoint nâng cấp (vá ở 1.18.22) và lỗi MCP OAuth trên Windows/WSL (vá ở 1.18.33). Nên dùng bản 1.18.33 trở lên."},{"question":"Có bản mobile không?","answer":"Trang chủ nêu app iPhone qua TestFlight; bản Android ghi là sắp ra."}],"en":[{"question":"Is OpenCode free?","answer":"The software is MIT-licensed open source and free to use. You still pay for models: your own API keys, an existing plan, Go from $10/month or pay-as-you-go Zen. Some models are free for a limited time."},{"question":"Can OpenCode use a Claude Pro/Max subscription?","answer":"Per Shareuhack, Anthropic blocked OpenCode's OAuth access from Jan 9, 2026 and OpenCode removed the related code on Feb 19, 2026. Since v2.2.3 (Oct 30, 2026), the changelog describes installing Claude Code, logging in with claude auth login and selecting Claude Agent in /connect; it doesn't say which Claude plans this works with. Pay-per-use Anthropic API keys also work."},{"question":"Does OpenCode store my code or prompts?","answer":"The privacy policy says prompts are passed to the model provider and not stored, except hosted agent sessions (deleted after 30 days of inactivity). Model providers have their own policies; for Zen, the OpenAI and Anthropic APIs retain requests for 30 days."},{"question":"Has OpenCode had serious security flaws?","answer":"Yes. In 2026 four flaws let a malicious website or MCP server run commands on users' machines: CVE-2026-22812 (fixed in 1.0.216), CVE-2026-22813 (fixed in 1.1.10), an upgrade-endpoint flaw (fixed in 1.18.22) and an MCP OAuth flaw on Windows/WSL (fixed in 1.18.33). Use 1.18.33 or later."},{"question":"Is there a mobile app?","answer":"The home page lists an iPhone app via TestFlight; Android is listed as coming soon."}]},"disclosure":{"sponsored":false,"affiliateLink":false,"note":{}},"citation":{"publisher":"AppDuo","author":"AppDuo Editorial Team","title":"OpenCode review","url":"https://app-duo.com/apps/opencode","dateModified":"2026-11-11"},"sources":[{"id":"s1","label":"OpenCode official home page","url":"https://opencode.ai","kind":"official","checkedAt":"2026-11-11"},{"id":"s2","label":"OpenCode Go pricing page","url":"https://opencode.ai/go","kind":"official","checkedAt":"2026-11-11"},{"id":"s3","label":"OpenCode docs","url":"https://opencode.ai/docs/","kind":"official","checkedAt":"2026-11-11"},{"id":"s4","label":"OpenCode Zen docs","url":"https://opencode.ai/docs/zen","kind":"official","checkedAt":"2026-11-11"},{"id":"s5","label":"OpenCode privacy policy","url":"https://opencode.ai/legal/privacy-policy","kind":"official","checkedAt":"2026-11-11"},{"id":"s6","label":"OpenCode changelog","url":"https://opencode.ai/changelog","kind":"official","checkedAt":"2026-11-11"},{"id":"s7","label":"OpenCode GitHub repository","url":"https://github.com/anomalyco/opencode","kind":"official","checkedAt":"2026-11-11"},{"id":"s8","label":"GitHub Advisory GHSA-vxw4-wv6m-9hhh (CVE-2026-22812)","url":"https://github.com/advisories/GHSA-vxw4-wv6m-9hhh","kind":"official","checkedAt":"2026-11-11"},{"id":"s9","label":"GitHub Advisory GHSA-c83v-7274-4vgp (CVE-2026-22813)","url":"https://github.com/advisories/GHSA-c83v-7274-4vgp","kind":"official","checkedAt":"2026-11-11"},{"id":"s10","label":"OpenCode security advisory GHSA-632h-h47v-g4x4","url":"https://github.com/anomalyco/opencode/security/advisories/GHSA-632h-h47v-g4x4","kind":"official","checkedAt":"2026-11-11"},{"id":"s11","label":"Datadog Security Labs: OpenCode upgrade remote code execution","url":"https://securitylabs.datadoghq.com/articles/opencode-upgrade-remote-code-execution/","kind":"press","checkedAt":"2026-11-11"},{"id":"s12","label":"Shareuhack: OpenCode Banned by Anthropic","url":"https://www.shareuhack.com/en/posts/opencode-anthropic-legal-controversy-2026","kind":"press","checkedAt":"2026-11-11"},{"id":"s13","label":"DeepInspect: OpenCode MCP OAuth remote code execution","url":"https://www.deepinspect.ai/mcp-security-incidents/opencode-mcp-oauth-remote-code-execution","kind":"press","checkedAt":"2026-11-11"}]}