Hermes Agent mit Codex und OpenCode: vier Zugangsdaten-Oberflächen, drei Zähler

Hermes Agent ersetzt Codex oder OpenCode nicht – es steuert sie. Hermes enthält zwei gebündelte Skills, codex und opencode, die jede CLI als Unterprozess starten, und jeder Unterprozess verwendet seine eigenen Zugangsdaten statt des Hermes-Model-Providers. Das ist der entscheidende Planungsfakt: ein Workflow, vier Credential-Oberflächen, drei getrennte Zähler und zwei Oberflächen, die nur mit einem Endpunkt kommunizieren, der die Responses API bereitstellt.

Diese Seite behandelt Hermes Agent, die MIT-lizenzierte Agentensoftware von Nous Research – nicht Hermes 3 oder Hermes 4, die Open-Weight-Modellfamilie desselben Unternehmens, nicht die gleichnamige JavaScript-Engine und nicht die Luxusgütermarke. Eine Live-Prüfung von dem Repository am 19. September 2026 ergab archived: false, eine MIT-Lizenz und einen Push an diesem Tag; die neueste veröffentlichte Version ist Hermes Agent v0.21.3, getaggt als v2026.9.14 am 14. September 2026. Informationen zu den Betriebskosten des Agents finden Sie unter Hermes-Agent-Preise.

Drei Dinge namens "codex" in Hermes

Diese Überschneidung muss zuerst geklärt werden, weil alle drei in der Konfiguration vorkommen und nur eines davon das ist, was die meisten mit hermes codex meinen.

Quellen: der mitgelieferte codex-Skill, die Anbieterdokumentation und die Seite zur Codex app-server-Laufzeitumgebung, alle abgerufen am 19. September 2026.

Eine Programmieraufgabe an Codex delegieren

Der codex-Skill ist Version 1.0.1, unter MIT-Lizenz und hat laut Beschreibung die Aufgabe "Delegate coding to OpenAI Codex CLI (features, PRs)." Die Voraussetzungen sind ausdrücklich festgelegt: Codex ist mit npm install -g @openai/codex installiert; die OpenAI-Authentifizierung ist entweder als OPENAI_API_KEY oder als Codex-OAuth-Sitzung konfiguriert; die Arbeit muss innerhalb eines Git-Repositorys ausgeführt werden, da Codex außerhalb eines solchen die Ausführung verweigert; und Terminalaufrufe benötigen pty=true, da Codex eine interaktive Terminalanwendung ist.

Der Start erfolgt als Terminalaufruf im Hintergrund – codex exec --sandbox workspace-write 'Refactor the auth module' mit einem workdir –, der eine Sitzungs-ID zurückgibt. Anschließend fragt Hermes die Sitzung ab, liest ihr Protokoll, beantwortet Genehmigungsaufforderungen mit einer Submit-Aktion und beendet sie, wenn etwas schiefläuft. Das Ergebnis erreicht den Hauptagenten als Prozessausgabe sowie über alles, was Codex im Arbeitsbaum hinterlassen hat; zwischen den beiden Prozessen wird nichts im Speicher geteilt.

Der Skill dokumentiert zwei Grenzen, statt sie zu verbergen. --full-auto funktioniert weiterhin, aber die aktuelle CLI warnt nun davor, stattdessen --sandbox workspace-write zu verwenden. Wenn Codex aus einem Hermes-Gateway oder einem Service-Kontext aufgerufen wird – etwa aus einer chatgesteuerten Agentensitzung –, kann die workspace-write-Sandbox trotz identischem Befehl in einer interaktiven Shell fehlschlagen, mit Bubblewrap- oder User-Namespace-Fehlern wie setting up uid map: Permission denied. Der eigene Lösungsweg des Skills ist --sandbox danger-full-access, wodurch die Codex-Sandbox vollständig entfernt wird; wenn Sie dies tun, bleibt die Prozessgrenze, in der Hermes ausgeführt wird, die einzige verbleibende Isolation.

Eine Programmieraufgabe an OpenCode delegieren

Der opencode-Skill ist Version 1.2.0, unter MIT-Lizenz und wird als "Delegate coding to OpenCode CLI (features, PR review)." beschrieben. Installieren Sie ihn mit npm i -g opencode-ai@latest oder brew install anomalyco/tap/opencode, führen Sie anschließend opencode auth login aus und überprüfen Sie dies mit opencode auth list. Die eigene Dokumentation von OpenCode bietet außerdem den Befehl /connect innerhalb der Terminal-UI, der Zugangsdaten in ~/.local/share/opencode/auth.json schreibt – beide Wege sind aktuell, daher bedeutet die Befolgung des einen nicht, dass der andere veraltet ist.

Für begrenzte Arbeiten bevorzugt der Skill einen einmaligen Durchlauf: opencode run 'Add retry logic to API calls and update tests', mit --model provider/model zur Festlegung eines Modells. Interaktive Sitzungen werden mit einem pty im Hintergrund ausgeführt und über poll, log und submit gesteuert. Eine Falle wird im Skill ausdrücklich fett hervorgehoben: nicht /exit senden – dies ist kein gültiger OpenCode-Befehl und öffnet stattdessen einen Dialog zur Auswahl eines Agents. Beenden Sie den Prozess mit Ctrl+C oder einer Kill-Aktion.

Auch die Benennung birgt eine aktuelle Falle. Das npm-Paket opencode-ai ist das aktuelle Produkt; die GitHub-Organisation namens opencode-ai enthält den archivierten Vorgänger, zuletzt am 18. September 2025 aktualisiert. Das aktuelle Repository ist anomalyco/opencode, nicht sst/opencode – die GitHub-API löst den alten Pfad zum neuen auf, und die Organisation sst zeigt nun "We've moved to https://github.com/anomalyco" an. Neueste Version v1.18.31, 14. September 2026 (GitHub-REST-API, 19. September 2026).

Die Zuordnung, die Ihre Rechnung tatsächlich bestimmt

Das ist der Teil, den die Dokumentation keines der beiden Anbieter abdeckt, weil jeder nur für seine Hälfte verantwortlich ist. In diesem Workflow gibt es vier Credential-Oberflächen, die jeweils in einer anderen Datei konfiguriert werden. Alle vier können auf einen Drittanbieter-Endpunkt verweisen – allerdings nicht zu denselben Bedingungen, und die beiden Codex-Oberflächen akzeptieren nur die Responses API.

Hermes stellt die Trennung eindeutig dar: Sein eigenes Codex-OAuth liegt in ~/.hermes/auth.json, während die Sitzung der eigenständigen CLI in ~/.codex/auth.json liegt. Die Laufzeitseite nennt den Grund: Hermes teilt den OAuth-Zustand absichtlich nicht mit der Codex CLI, damit die beiden sich bei der Token-Aktualisierung nicht gegenseitig überschreiben. Eine delegierte Programmieraufgabe übernimmt daher nicht die Provider-Konfiguration von Hermes; sie liest ~/.codex/config.toml oder opencode.json und greift nur dann auf denselben Kontostand zu, wenn Sie sie absichtlich auf denselben Schlüssel verweisen lassen. Das ist hilfreich, wenn Sie den Schadensradius isolieren möchten, und überraschend, wenn Sie angenommen haben, dass ein Kontostand alles abdeckt.

Was die App-Server-Laufzeit ändert

Wenn Sie die Codex-App-Server-Laufzeit aktivieren, ändert sich die Berechnung auf drei Arten, die Sie vor der Aktivierung kennen sollten. Sie leitet openai/*, openai-codex/* und benannte Custom-Provider-Durchläufe weiter; in der Feature-Tabelle sind andere Nicht-OpenAI-Provider mit "n/a — not routed through codex" markiert, und ein anonymer provider: custom mit einer einfachen Base-URL ist ausdrücklich nicht zulässig, weil kein stabiler Name vorhanden ist, der an Codex übergeben werden könnte. Vier Hermes-Tools sind dort nicht verfügbar – delegate_task, memory, session_search und todo –, weil sie die laufende Agentenschleife benötigen und ein zustandsloser Callback sie nicht steuern kann. Die meist übersehene Kostenfolge: Beim Provider openai-codex laufen standardmäßig auch zusätzliche Aufgaben über Ihr ChatGPT-Abonnement – Titelerstellung, Kontextkomprimierung, automatische Bilderkennung und der Hintergrund-Review-Fork zur Selbstverbesserung –, weil der Hilfsclient von Hermes den Hauptprovider verwendet, wenn keine aufgabenspezifische Überschreibung gesetzt ist.

Ein Drittanbieter-Endpunkt ist in dieser Laufzeit nicht ausgeschlossen, kostet Sie aber eine zweite Konfigurationsdatei. Die Laufzeitseite dokumentiert den Weg: ein Eintrag providers.<name> in ~/.hermes/config.yaml mit openai_runtime: codex_app_server sowie eine [model_providers.<name>]-Tabelle desselben Namens in ~/.codex/config.toml mit base_url, env_key und wire_api = "responses". Hermes sendet beim Start des Threads nur das Modell und den Providernamen und leitet den Schlüssel nie weiter. Daher muss diese Umgebungsvariable in dem Prozess vorhanden sein, in dem Hermes läuft; zusätzliche Aufrufe verwenden weiterhin den eigenen Hermes-Eintrag für diesen Provider. Ein Hinweis auf derselben Seite: Die beiden Namen müssen exakt übereinstimmen, sonst meldet Codex einen unbekannten Provider, statt auf den Hermes-Endpunkt zurückzufallen. Die einfachere Route bleibt die Standardlaufzeit (openai_runtime: auto) mit einem custom:-Provider; nur dort muss der Endpunkt nicht Responses sprechen. Beachten Sie außerdem, dass Hermes den Codex-Unterprozess unabhängig vom aktiven Hermes-Profil auf ~/.codex/ verweist. Daher teilen sich hermes -p work und hermes -p personal dieselbe Codex-Authentifizierung, sofern Sie nicht CODEX_HOME setzen und sich erneut anmelden.

Alle drei offenen Oberflächen auf einen Endpunkt verweisen

Jeder folgende Block ist aus den Quelldokumenten der Anbieter gelesen und nicht zur Laufzeit getestet. Kunavo hat weder eine Hermes-Sitzung noch ein codex exec oder ein opencode run gegen seinen Endpunkt ausgeführt, und eine veröffentlichte Einrichtungsanleitung ist eine Konfigurationsreferenz, kein Kompatibilitätstest. Halten Sie einen funktionierenden Weg verfügbar, während Sie diese Optionen ausprobieren.

# Surface 1: Hermes' own turns.
providers:
  kunavo:
    api: https://api.kunavo.com/v1     # aliases: base_url, url
    key_env: KUNAVO_API_KEY
    transport: chat_completions        # set it explicitly; auto-detection is only a fallback

model:
  default: claude-sonnet-4-6
  provider: custom:kunavo

transport beschreibt die Hermes-eigenen Durchläufe vollständig. Kunavo stellt /v1/chat/completions, /v1/messages und /v1/responses bereit, sodass jeder der drei Transportwerte von Hermes einen passenden Endpunkt besitzt – eine Übereinstimmung auf Dokumentationsebene, keine getestete. Laut Hermes-Provider-Dokumentation erfolgt die automatische Erkennung anhand der URL nur als Fallback, wenn das Feld leer ist. Setzen Sie es daher. Wechseln Sie während der Sitzung mit /model custom:kunavo:<model-id>.

# Surface 2: the delegated Codex CLI. Keep this OUTSIDE Hermes' managed block.
model = "claude-sonnet-4-6"
model_provider = "kunavo"

[model_providers.kunavo]
name = "Kunavo"
base_url = "https://api.kunavo.com/v1"
env_key = "KUNAVO_API_KEY"   # the NAME of the variable, not the key itself
# wire_api defaults to "responses", and "responses" is the only value that parses.
# Leave requires_openai_auth unset: true sends Codex to auth.json instead of env_key.

Die Codex-Hälfte ist eine harte Voraussetzung, und es lohnt sich, sie auf Quellcodeebene zu prüfen, statt sie einfach als gegeben hinzunehmen. In codex-rs/model-provider-info/src/lib.rs vom 19. September 2026 hat das Wire-Protokoll-Enum genau eine Variante: Responses. Das Setzen von wire_api = "chat" ist nun ein harter Konfigurationsfehler, dessen Meldung auffordert, stattdessen responses zu setzen. Ein Gateway, das nur Chat Completions beherrscht, kann überhaupt kein Codex-Provider sein. Die aktuelle Schlüsselreferenz befindet sich unter learn.chatgpt.com — alles, was weiterhin developers.openai.com/codex/… zitiert, ist eine 308-Weiterleitung, was wir am selben Tag bestätigt haben.

{
  "$schema": "https://opencode.ai/config.json",
  "provider": {
    "kunavo": {
      "npm": "@ai-sdk/openai-compatible",
      "name": "Kunavo",
      "options": {
        "baseURL": "https://api.kunavo.com/v1",
        "apiKey": "{env:KUNAVO_API_KEY}"
      },
      "models": { "claude-sonnet-4-6": { "name": "Claude Sonnet 4.6" } }
    }
  }
}

Bei OpenCode bestimmt das npm-Paket das Wire-Format: @ai-sdk/openai-compatible ruft /chat/completions auf, @ai-sdk/openai ruft /responses auf. Wählen Sie den Eintrag, der dem Pfad entspricht, den Ihr Endpunkt tatsächlich bereitstellt; die Dokumentation beschreibt das Fehlerverhalten bei der Wahl des anderen Eintrags nicht, und wir haben es nicht getestet. Ob die gebündelten Skills einen auf diese Weise konfigurierten benutzerdefinierten Provider berücksichtigen, ist eine Schlussfolgerung aus der Dokumentation der Sub-CLI — die Skills bestehen aus einfachen Shell-Aufrufen von Unterprozessen, daher sollten sie es —, aber kein Hermes-Dokument bestätigt dies, und wir haben es nicht ausgeführt.

Ein durchgerechnetes Beispiel über die drei Zähler

Dies ist eine veranschaulichende Tokenberechnung, keine gemessenen Aufgabenkosten und keine Abrechnungsobergrenze. Nehmen wir einen ausgelasteten Tag an: Der Orchestrator und seine zusätzlichen Slots verarbeiten 1.500.000 nicht zwischengespeicherte Eingabe- und 80.000 Ausgabetokens, und jeder delegierte Coding-Worker verarbeitet 2.000.000 Eingabe- und 120.000 Ausgabetokens. Diese Verhältnisse sind Annahmen zur Veranschaulichung. Die Preise sind die aktuellen Preise des Kunavo-Katalogs pro Million Tokens.

Unter diesen Annahmen kostet es für den Tag $14.91, alle drei Rollen auf Claude Sonnet 4.6-Modellen auszuführen, während der Orchestrator und sein zusätzlicher Datenverkehr auf Claude Haiku 4.5 laufen und beide Coding-Worker auf Claude Sonnet 4.6-Modellen insgesamt $12.25 kosten. Diese Differenz spricht für eine rollenbezogene Modellauswahl und erklärt auch, warum die oben dargestellte Zuordnung der Zugangsdaten wichtig ist: Wenn die Coding-Worker auf separaten Konten laufen, muss diese Berechnung dreimal anhand von drei Zählern statt einmal durchgeführt werden.

Der Katalogbetrag von Kunavo ist ein Abrechnungsuntergrenze und keine Obergrenze: Wenn der Upstream seine Kosten meldet, entspricht die Rechnung dem höheren Wert aus den Katalogkosten und den Upstream-Kosten multipliziert mit dem geltenden Aufschlag. Cache-Gebühren und externe Tools sind in diesem Beispiel nicht enthalten. Die minimale Aufladung beträgt $10 als Prepaid-Guthaben; dies ist eine Mindestfinanzierung und weder eine Aufgabengebühr noch ein Abonnement — siehe Abrechnungsdetails.

Welche Finanzierungsroute gewinnt, wenn

Zwei Korrekturen zu verbreiteten Darstellungen. „Codex kostet 20 $ im Monat“ und „Codex wird pro Token abgerechnet“ sind auf dieselbe Weise falsch: learn.chatgpt.com (Stand: 19. September 2026) beschreibt eine Aufteilung — ChatGPT-Pläne namens Free, Go, Plus, Pro, Business und Enterprise & Edu, deren Kontingente die Codex-Nutzung abdecken, oder einen API-Schlüssel, der zu den üblichen API-Preisen ohne erforderliches Abonnement abgerechnet wird. Nur der zweite Zweig macht überhaupt einen Drittanbieter-Endpunkt austauschbar. Wir geben die Nachrichtenkontingente je Plan bewusst nicht an: Auf dieser Seite steht, dass die Anzahl vom Modell und vom Umfang Ihrer Aufgaben abhängt, und unsere Auswertung erfolgte über eine Zusammenfassung statt über gerendertes HTML. Prüfen Sie Ihr eigenes Konto. Auf der anderen Seite erklärt OpenCode Zen, dass es „vollständig optional ist und Sie es nicht benötigen, um OpenCode zu nutzen“, pro Anfrage aus einem Guthaben abrechnet und standardmäßig 20 $ nachlädt, wenn das Guthaben unter 5 $ fällt — ein echter Unterschied bei der Kostenkontrolle gegenüber einem Prepaid-Guthaben, das Sie selbst aufladen.

Richten Sie es ein und lesen Sie anschließend alle drei Zähler ab

Beginnen Sie mit der Oberfläche, die Sie tatsächlich benötigen. Kunavo veröffentlicht Einrichtungsreferenzen für beide Coding-Worker: Codex CLI behandelt den reinen Responses-Provider-Block, und OpenCode behandelt die npm-Paketauswahl, die das Wire-Format bestimmt. Führen Sie eine begrenzte Delegation aus und lesen Sie anschließend die von jedem Konto dafür erfassten Kosten ab — /usage, opencode stats --days 7 und das eigene Konto des Codex-Workers —, bevor Sie annehmen, dass eine der drei Zahlen die anderen abdeckt. Erstellen Sie ein Kunavo-Konto, sobald Sie bereit sind, einen Schlüssel zu finanzieren.

Vergleichen Sie die beiden Coding-Worker, statt sie miteinander zu verbinden? OpenCode vs Codex behandelt diese Frage direkt, und OpenAI-kompatible API erklärt, was die beiden Wire-Formate in der Praxis bedeuten.

Häufig gestellte Fragen

Geprüft am 19. September 2026: die Hermes-Agent-Codex- und OpenCode-Skill-Dateien sowie die Codex-App-Server-Laufzeit und Provider-Dokumente in diesem Repository; codex-rs/model-provider-info/src/lib.rs in openai/codex; die Preis- und Konfigurationsreferenz von learn.chatgpt.com, einschließlich der 308-Weiterleitungen von developers.openai.com; die Provider- und Zen-Seiten von opencode.ai; sowie der Repository-Stand aller vier Projekte über die GitHub-REST-API. Nicht geprüft: die tatsächliche Ausführung. Es wurde keine Hermes-Sitzung, kein codex exec, kein opencode-Lauf und keine Anfrage eines dieser Tools an den Kunavo-Endpunkt ausgeführt. Nachrichtenkontingente je Plan und Zen-Modellpreise wurden bewusst ausgelassen, weil unsere Auswertung dieser beiden Seiten über eine Zusammenfassung erfolgte. Die Kunavo-Tokenpreise stammen aus dem aktuellen Katalog; jeder Dollarbetrag hier ist eine veranschaulichende Tokenberechnung.