Hermes Agent con Codex e OpenCode: quattro superfici per le credenziali, tre contatori

Hermes Agent non sostituisce Codex o OpenCode: li controlla. Hermes include due skill, codex e opencode, che avviano ogni CLI come sottoprocesso, e ogni sottoprocesso paga con le proprie credenziali invece che con il provider del modello di Hermes. Questo è il fatto su cui vale la pena basare la pianificazione: un flusso di lavoro, quattro superfici di credenziali, tre contatori separati e due superfici che comunicheranno solo con un endpoint che espone la Responses API.

Questa pagina riguarda Hermes Agent, il software agent con licenza MIT di Nous Research — non Hermes 3 o Hermes 4, la famiglia di modelli open-weight della stessa azienda, non il motore JavaScript omonimo e non il marchio di beni di lusso. Una verifica live di repository il 19 settembre 2026 ha restituito archived: false, una licenza MIT e un push effettuato quel giorno; la release pubblicata più recente è Hermes Agent v0.21.3, contrassegnata come v2026.9.14 il 14 settembre 2026. Per sapere quanto costa eseguire l'agent, consulta Prezzi di Hermes Agent.

Tre elementi chiamati "codex" all'interno di Hermes

La collisione è la prima questione da chiarire, perché tutti e tre compaiono nella configurazione e solo uno corrisponde a ciò che la maggior parte delle persone intende con hermes codex.

Fonti: la skill codex inclusa, la documentazione dei provider e la pagina del runtime app-server di Codex, tutte consultate il 19 settembre 2026.

Delegare un'attività di programmazione a Codex

La skill codex è la versione 1.0.1, ha licenza MIT e dichiara come obiettivo "Delega la programmazione a OpenAI Codex CLI (funzionalità, PR)." I prerequisiti sono espliciti: Codex installato con npm install -g @openai/codex; autenticazione OpenAI configurata tramite OPENAI_API_KEY o una sessione OAuth di Codex; il lavoro deve essere eseguito all'interno di un repository git, perché Codex rifiuta di funzionare al di fuori di uno; inoltre le chiamate al terminale richiedono pty=true perché Codex è un'applicazione terminale interattiva.

L'avvio consiste in una chiamata al terminale eseguita in background — codex exec --sandbox workspace-write 'Refactor the auth module' con un workdir — che restituisce un ID di sessione. Da lì Hermes interroga la sessione, legge il log, risponde alle richieste di approvazione con un'azione submit e la termina se qualcosa va storto. Il risultato raggiunge l'agent principale come output del processo, insieme a ciò che Codex ha lasciato nell'albero di lavoro; tra i due processi non viene condiviso nulla in memoria.

La skill documenta due confini invece di nasconderli. --full-auto continua a funzionare, ma la CLI attuale ora avvisa di usare --sandbox workspace-write. Inoltre, quando Codex viene invocato da un gateway o da un contesto di servizio Hermes — per esempio una sessione agent guidata dalla chat — il sandboxing workspace-write può non funzionare anche se lo stesso comando funziona in una shell interattiva, con errori di bubblewrap o degli user namespace come setting up uid map: Permission denied. Il rimedio indicato dalla skill è --sandbox danger-full-access, che rimuove completamente il sandbox di Codex; se lo scegli, il confine del processo in cui esegui Hermes diventa l'unico contenimento rimasto.

Delegare un'attività di programmazione a OpenCode

La skill opencode è la versione 1.2.0, ha licenza MIT ed è descritta come "Delega la programmazione alla CLI di OpenCode (funzionalità, revisione delle PR)." Installa con npm i -g opencode-ai@latest o brew install anomalyco/tap/opencode, poi esegui opencode auth login e verifica con opencode auth list. La documentazione di OpenCode offre inoltre il comando /connect all'interno dell'interfaccia terminale, che scrive le credenziali in ~/.local/share/opencode/auth.json — entrambi i percorsi sono attuali, quindi seguirne uno non significa che l'altro sia obsoleto.

Per il lavoro delimitato la skill preferisce un'unica esecuzione: opencode run 'Add retry logic to API calls and update tests', con --model provider/model per fissare un modello. Le sessioni interattive vengono eseguite in background con un pty e gestite con poll, log e submit. Nella skill viene evidenziata un'insidia: non inviare /exit — non è un comando OpenCode valido e apre invece una finestra di dialogo per la selezione dell'agente. Esci con Ctrl+C o con un'azione kill.

La denominazione presenta una propria insidia concreta. Il pacchetto npm opencode-ai è il prodotto attuale; l'organizzazione GitHub denominata opencode-ai contiene il predecessore archiviato, il cui ultimo push risale al 18 settembre 2025. Il repository attuale è anomalyco/opencode, non sst/opencode — l'API GitHub risolve il vecchio percorso in quello nuovo e l'organizzazione sst ora riporta "Ci siamo trasferiti su https://github.com/anomalyco". Ultima release v1.18.31, 14 settembre 2026 (API REST GitHub, 19 settembre 2026).

La mappa che determina davvero la tua fattura

Questa è la parte che la documentazione di nessuno dei due fornitori tratta, perché ciascuno possiede solo la propria metà. In questo flusso esistono quattro superfici di credenziali, ognuna configurata in un file diverso. Tutte e quattro possono puntare a un endpoint di terze parti, ma non alle stesse condizioni e le due superfici Codex accettano solo la Responses API.

Hermes dichiara chiaramente la separazione: il proprio OAuth Codex risiede in ~/.hermes/auth.json, mentre la sessione della CLI autonoma risiede in ~/.codex/auth.json; la pagina del runtime aggiunge il motivo — Hermes non condivide deliberatamente lo stato OAuth con la CLI di Codex, per evitare che i due si sovrascrivano durante il rinnovo dei token. Pertanto un'attività di programmazione delegata non eredita la configurazione del provider di Hermes; legge ~/.codex/config.toml o opencode.json e usa lo stesso saldo solo se lo indirizzi deliberatamente alla stessa chiave. È una funzionalità quando vuoi isolare il raggio d'impatto e una sorpresa quando presumevi che un solo saldo coprisse tutto.

Cosa cambia con il runtime app-server

Se attivi il runtime app-server di Codex, il calcolo cambia in tre modi che vale la pena conoscere prima di farlo. Instrada i turni openai/*, openai-codex/* e quelli dei provider personalizzati denominati; la tabella delle funzionalità indica gli altri provider non OpenAI come "n/a — not routed through codex" e un provider: custom anonimo con un semplice URL di base non è esplicitamente idoneo, perché non esiste un nome stabile da passare a Codex. Quattro strumenti Hermes non sono più disponibili (delegate_task, memory, session_search e todo), perché richiedono il ciclo dell'agent in esecuzione e un callback senza stato non può gestirli. E il costo che molti trascurano: con il provider openai-codex, anche le attività ausiliarie passano per impostazione predefinita attraverso il tuo abbonamento ChatGPT — generazione del titolo, compressione del contesto, rilevamento automatico della visione e il fork della revisione di auto-miglioramento in background — perché il client ausiliario di Hermes usa il provider principale quando non è impostata una sostituzione per attività.

Un endpoint di terze parti non è escluso da questo runtime, ma richiede un secondo file di configurazione. La pagina del runtime documenta il percorso: una voce providers.<name> in ~/.hermes/config.yaml con openai_runtime: codex_app_server, oltre a una tabella [model_providers.<name>] con lo stesso nome in ~/.codex/config.toml che contiene base_url, env_key e wire_api = "responses". Hermes invia solo il modello e il nome del provider all'avvio del thread e non inoltra mai la chiave, quindi quella variabile d'ambiente deve essere presente nel processo in cui viene eseguito Hermes; le chiamate ausiliarie continuano a usare la voce propria di Hermes per quel provider. La stessa pagina segnala una limitazione: i due nomi devono corrispondere esattamente, altrimenti Codex restituisce un provider sconosciuto invece di ricadere sull'endpoint Hermes. Rimanere sul runtime predefinito (openai_runtime: auto) con un provider custom: resta il percorso più semplice, ed è l'unico che non richiede che l'endpoint esponga Responses. Nota inoltre che Hermes indirizza il sottoprocesso Codex a ~/.codex/ indipendentemente dal profilo Hermes attivo, quindi hermes -p work e hermes -p personal condividono un'unica autenticazione Codex, a meno che tu non imposti CODEX_HOME e acceda di nuovo.

Indirizzare tutte e tre le superfici esposte allo stesso endpoint

Ogni blocco seguente è ricavato dai documenti sorgente dei fornitori, non testato a runtime. Kunavo non ha eseguito una sessione Hermes, un codex exec o un opencode run contro il proprio endpoint e una guida di configurazione pubblicata è un riferimento alla configurazione, non un test di compatibilità. Mantieni disponibile un percorso funzionante mentre provi queste configurazioni.

# Surface 1: Hermes' own turns.
providers:
  kunavo:
    api: https://api.kunavo.com/v1     # aliases: base_url, url
    key_env: KUNAVO_API_KEY
    transport: chat_completions        # set it explicitly; auto-detection is only a fallback

model:
  default: claude-sonnet-4-6
  provider: custom:kunavo

transport è l'intera storia per i turni propri di Hermes. Kunavo espone /v1/chat/completions, /v1/messages e /v1/responses, quindi ciascuno dei tre valori di trasporto di Hermes ha un endpoint corrispondente — una corrispondenza a livello documentale, non testata. La documentazione dei provider di Hermes indica che il rilevamento automatico basato sull'URL avviene solo come fallback quando il campo è vuoto, quindi impostalo. Cambia durante la sessione con /model custom:kunavo:<model-id>.

# Surface 2: the delegated Codex CLI. Keep this OUTSIDE Hermes' managed block.
model = "claude-sonnet-4-6"
model_provider = "kunavo"

[model_providers.kunavo]
name = "Kunavo"
base_url = "https://api.kunavo.com/v1"
env_key = "KUNAVO_API_KEY"   # the NAME of the variable, not the key itself
# wire_api defaults to "responses", and "responses" is the only value that parses.
# Leave requires_openai_auth unset: true sends Codex to auth.json instead of env_key.

La parte Codex è un vincolo inderogabile, e vale la pena verificarla a livello di sorgente anziché accettarla sulla fiducia. In codex-rs/model-provider-info/src/lib.rs, alla lettura del 19 settembre 2026, l'enum del protocollo wire ha esattamente una variante: Responses. Impostare wire_api = "chat" è ora un errore di configurazione inderogabile, il cui messaggio indica di impostare invece responses. Un gateway che parla esclusivamente Chat Completions non può essere in alcun modo un provider Codex. Il riferimento attuale alle chiavi è disponibile su learn.chatgpt.com — qualsiasi riferimento che citi ancora developers.openai.com/codex/… è un redirect 308, come abbiamo confermato lo stesso giorno.

{
  "$schema": "https://opencode.ai/config.json",
  "provider": {
    "kunavo": {
      "npm": "@ai-sdk/openai-compatible",
      "name": "Kunavo",
      "options": {
        "baseURL": "https://api.kunavo.com/v1",
        "apiKey": "{env:KUNAVO_API_KEY}"
      },
      "models": { "claude-sonnet-4-6": { "name": "Claude Sonnet 4.6" } }
    }
  }
}

Per OpenCode è il pacchetto npm a scegliere il formato wire: @ai-sdk/openai-compatible chiama /chat/completions, mentre @ai-sdk/openai chiama /responses. Indica quello corrispondente al percorso effettivamente esposto dal tuo endpoint; la documentazione non descrive cosa accada se indichi l'altro e non lo abbiamo testato. Il fatto che le skill incluse rispettino o meno un provider personalizzato configurato in questo modo è un'inferenza ricavata dalla documentazione della sub-CLI — le skill sono semplici chiamate shell a sottoprocessi, quindi dovrebbero rispettarlo — ma nessun documento di Hermes lo afferma e non lo abbiamo eseguito.

Una stima esemplificativa sui tre contatori

Si tratta di calcoli illustrativi dei token, non di costi misurati delle attività né di un tetto massimo della fattura. Supponiamo una giornata intensa: l'orchestratore e i suoi slot ausiliari ricevono 1.500.000 token di input non memorizzati nella cache e 80.000 token di output, mentre ciascun worker di codifica delegato riceve 2.000.000 token di input e 120.000 token di output. Questi rapporti sono ipotesi a scopo illustrativo. Le tariffe sono i prezzi aggiornati del catalogo Kunavo per milione di token.

In base a queste ipotesi, eseguire tutti e tre i ruoli su modelli Claude Sonnet 4.6 costa $14,91 per la giornata, mentre assegnando l'orchestratore e il relativo traffico ausiliario a Claude Haiku 4.5 e lasciando entrambi i worker di codifica su modelli Claude Sonnet 4.6 si arriva a $12,25. Questa differenza è l'argomento a favore della scelta del modello per ruolo, ed è anche il motivo per cui la mappa delle credenziali riportata sopra è importante: se i worker di codifica usano account separati, questo calcolo deve essere eseguito tre volte, su tre contatori, anziché una sola volta.

L'importo del catalogo Kunavo è una soglia minima di fatturazione, non un limite massimo: quando l'upstream comunica il proprio addebito, la fattura è il maggiore tra il costo di catalogo e il costo upstream moltiplicato per il markup applicabile. Gli addebiti della cache e gli strumenti esterni non rientrano in questo esempio. La ricarica minima è $10 di credito prepagato, che rappresenta un minimo di finanziamento, non un costo per attività né un abbonamento — vedi dettagli sulla fatturazione.

Quale modalità di finanziamento conviene quando

Due correzioni alle formulazioni comuni. "Codex costa 20 $ al mese" e "Codex è a pagamento per token" sono entrambe errate nello stesso modo: learn.chatgpt.com (letto il 19 settembre 2026) descrive una biforcazione — i piani ChatGPT denominati Free, Go, Plus, Pro, Business ed Enterprise & Edu, le cui allowance coprono l'utilizzo di Codex, oppure una chiave API fatturata alle tariffe API standard senza abbonamento obbligatorio. Solo il secondo ramo rende sostituibile un endpoint di terze parti. Evitiamo deliberatamente di riportare le allowance dei messaggi per piano: quella pagina afferma che il numero dipende dal modello e dalle dimensioni delle attività, e la nostra lettura è avvenuta tramite un summarizer anziché tramite HTML renderizzato. Controlla il tuo account. Dall'altro lato, OpenCode Zen dichiara di essere "completely optional and you don't need to use it to use OpenCode", addebita ogni richiesta da un saldo di credito e, per impostazione predefinita, ricarica 20 $ quando il saldo scende sotto i 5 $ — una differenza reale in termini di controllo dei costi rispetto a un saldo prepagato che ricarichi autonomamente.

Configurarlo, poi leggere tutti e tre i contatori

Inizia dalla superficie di cui hai realmente bisogno. Kunavo pubblica riferimenti di configurazione per entrambi i worker di codifica: Codex CLI copre il blocco provider riservato a Responses, mentre OpenCode copre la scelta del pacchetto npm che determina il formato wire. Esegui una delega delimitata, poi leggi l'addebito registrato da ciascun account — /usage, opencode stats --days 7 e l'account del worker Codex — prima di presumere che uno dei tre numeri includa gli altri. Crea un account Kunavo quando sei pronto a finanziare una chiave.

Stai confrontando i due worker di codifica anziché collegarli tra loro? OpenCode vs Codex affronta direttamente questa domanda, mentre API compatibile con OpenAI spiega in pratica il significato dei due formati wire.

Domande frequenti

Verificato il 19 settembre 2026: i file delle skill codex e opencode di Hermes Agent e il runtime app-server e i documenti sui provider di Codex in quel repository; codex-rs/model-provider-info/src/lib.rs in openai/codex; i riferimenti ai prezzi e alla configurazione di learn.chatgpt.com, inclusi i redirect 308 da developers.openai.com; le pagine dei provider e di Zen di opencode.ai; e lo stato dei repository di tutti e quattro i progetti tramite l'API REST di GitHub. Non verificato: l'esecuzione di tutto questo. Non è stata eseguita alcuna sessione Hermes, alcun codex exec, alcun comando opencode run né alcuna richiesta da questi strumenti verso l'endpoint Kunavo; le allowance dei messaggi per piano e le tariffe dei modelli Zen sono omesse deliberatamente perché la nostra lettura di quelle due pagine è avvenuta tramite un summarizer. Le tariffe dei token Kunavo provengono dal catalogo aggiornato; ogni cifra in dollari qui riportata è un calcolo illustrativo dei token.