OpenAI CLI: la terminal oficial para tu API de OpenAI

Un solo comando de Homebrew —brew install openai/tools/openai— es lo que separa a tu equipo de la CLI oficial de la API de OpenAI, el cliente de línea de comandos que OpenAI publica en su repositorio y que cubre tanto los endpoints estándar como los de administración. Para un founder, la lectura práctica es directa: las tareas que normalmente obligaban a mantener un script interno en Python o Node —subir un archivo, generar una imagen, consultar el consumo de la organización— ahora se resuelven con una línea de terminal y una salida lista para parsear.

Qué es OpenAI CLI y por qué no es lo mismo que Codex CLI

La herramienta sigue una estructura basada en recursos: openai <resource> [subresource...] <command> [flags...]. Se separa en dos mundos con credenciales distintas. Los endpoints estándar se autentican con una API key (OPENAI_API_KEY); los de administración requieren una admin API key (OPENAI_ADMIN_KEY).

Conviene aclarar la confusión más frecuente. Esta CLI no es el agente de programación. Codex CLI es la herramienta de coding agent: TechCrunch reportó que en su DevDay, OpenAI anunció una actualización del Codex CLI con control por voz, la vista /agents para delegar trabajo y una interfaz de terminal más limpia. OpenAI CLI, en cambio, es la puerta de entrada a la API como tal: archivos, imágenes, consumo por organización y respuestas de modelos. Son dos productos distintos y conviene no mezclarlos al armar el stack del equipo.

Cómo se instala y qué pasa con las actualizaciones

Hay dos caminos documentados:

• Homebrew: brew install openai/tools/openai.
• Go 1.26 o superior: go install 'github.com/openai/openai-cli/cmd/openai@latest'. El binario cae en $HOME/go/bin (o $GOPATH/bin), y si los comandos no aparecen hay que sumar esa ruta al PATH con export PATH="$PATH:$(go env GOPATH)/bin".

Un detalle operativo que la documentación explicita y que ahorra ruido en producción: la CLI busca versiones nuevas contra los metadatos públicos de GitHub, sin credenciales, como máximo una vez por día, y solo cuando stdin, stdout y stderr son terminales. El aviso aparece debajo del help como mucho cada siete días. Nunca instala actualizaciones sola, y los streams redirigidos, los comandos explícitos y el CI se saltean el chequeo por completo. Si tu pipeline necesita determinismo, existe OPENAI_CLI_NO_UPDATE_CHECK=1.

Qué se puede automatizar sin escribir código de pegamento

La lista de tareas que dejan de requerir un script propio es la parte más útil para un equipo chico:

• Archivos: openai files upload "upload space.txt" --purpose user_data, luego files get para metadatos y files download --output para traer el contenido. La carga toma una ruta plana, sin el prefijo @.
• Imágenes: openai images generate --prompt "..." guarda los resultados en ~/Downloads/gpt-images/ e imprime las rutas. Sin modelo explícito usa gpt-image-2.5-sunburst. Ojo con un cambio de comportamiento: images create-variation quedó retirada y la forma de generar variaciones ahora es images edit con un modelo GPT Image y un prompt.
• Playback sin costo: openai images preview vuelve a mostrar una imagen ya guardada sin hacer ninguna llamada a la API. Para demos o revisiones internas, es llamada cero.
• Costos: openai admin organization usage completions con --start-time, --end-time y --bucket-width 1d devuelve el consumo agregado por día. Es la materia prima para un tablero de gasto de IA que no dependa de mirar el panel web a mano.

Salida legible, pero parseable: el atajo que casi nadie usa

Por defecto la CLI imprime texto legible, incluso cuando la salida va por un pipe. Eso está bien para mirar, y es un problema para automatizar. La solución está en las banderas globales: --format json o --format jsonl para scripts que parsean datos de la API, y --transform para extraer un campo puntual con sintaxis GJSON sin escribir un parser.

Del lado de los errores, el default son resúmenes accionables en stderr. Cuando necesitas el detalle original de la API —campos desconocidos, eventos de stream reportados por el SDK— --format-error json lo devuelve, y --transform-error extrae ese dato de error de forma independiente de la salida exitosa. Migrar de parsear texto a --format json es probablemente la mejora de una tarde con mayor retorno para un equipo que ya tiene scripts frágiles.

Seguridad: los detalles que importan si manejas credenciales

• mTLS está en beta. Se configura con OPENAI_MTLS_CLIENT_CERT_FILE y OPENAI_MTLS_CLIENT_KEY_FILE en conjunto, y hay que fijar OPENAI_BASE_URL o --base-url de forma explícita porque la CLI no elige un endpoint mTLS por su cuenta. Los proxies HTTPS se rechazan, para no presentar el certificado de cliente durante el handshake del proxy.
• Headers con secretos: la bandera --header no lee archivos, los valores son literales. Para credenciales, la recomendación oficial es que un secret manager o un launcher confiable setee OPENAI_CUSTOM_HEADERS directo en el entorno del proceso, así los secretos no quedan en el historial del shell.
• Entrada no confiable: si pipeás JSON o YAML de una fuente que no controlas, OPENAI_UNTRUSTED_STDIN=1 hace que @, @file:// y @data:// dejen de leer archivos locales.
• --base-url exige HTTPS, con la única excepción de localhost o direcciones de loopback literales.

El contexto del sector respalda esta obsesión. BleepingComputer reportó que investigadores de Accomplish AI encontraron dos escapes del sandbox de Codex —Heapjack y Overpatch— reportados el 12 de agosto y corregidos en la build 26.818.21641 de Codex Desktop y en Codex CLI 0.149.0. Es otra herramienta, pero la lección aplica igual: cuando una CLI tiene permisos sobre archivos y red, hay que fijar versiones y revisar qué rutas de escritura habilita.

El mercado de CLIs se pobló: cómo se compara tu stack

TechRepublic publicó una comparativa de alternativas a Claude Code con precios chequeados el 24 de septiembre de 2026. Según ese informe, Codex arranca gratis con límites más altos en los planes pagos de ChatGPT; Antigravity CLI de Google es gratis en el plan individual y Google AI Pro cuesta US$19,99 al mes; GitHub Copilot es gratis con Pro a US$10 al mes; Cursor Pro a US$20 y Kiro Pro a US$20.

El mismo informe señala que Google movió a los usuarios individuales de Gemini CLI hacia Antigravity CLI en junio de 2026, y que una investigación de la Cloud Security Alliance presentada en Black Hat USA 2026 documentó rutas de ataque de CI/CD separadas en flujos de Claude Code Action, Gemini CLI y OpenAI Codex. Del lado positivo, cita un estudio de Microsoft según el cual los agentes de código con IA se asociaron a un 24% más de pull requests fusionados cuando los desarrolladores efectivamente los usaban.

¿Qué significa esto para tu startup?

La lectura corta: el costo de integrar IA ya no está en construir el cliente, está en gobernar el gasto y las credenciales. Tres movimientos concretos:

• Fija la versión y apaga el chequeo en CI. Usa OPENAI_CLI_NO_UPDATE_CHECK=1 en tus pipelines y pinneá la versión que instalas. Una CLI que decide cuándo actualizarse es una variable que no querés en un deploy.
• Automatiza el control de gasto desde la terminal. Programa openai admin organization usage completions con --bucket-width 1d y salida en JSON, y alerta cuando el consumo diario supere tu umbral. Es más barato que descubrir el pico en la factura.
• Saca los secretos de los argumentos. Si hoy pasás claves por flags, migrá a OPENAI_CUSTOM_HEADERS seteado por tu secret manager. Y si tu organización tiene mTLS activado, verificalo con openai files list antes de escalarlo al resto del equipo.

Conclusión

OpenAI CLI no es un producto de escaparate: es infraestructura aburrida y bien resuelta, que es exactamente lo que un equipo necesita para dejar de mantener scripts propios. Su valor real aparece cuando se combina con --format json, --transform y los comandos de administración: ahí se convierte en la pieza que conecta la API de OpenAI con tu observabilidad y tus controles de costo. La decisión sensata para un founder no es elegir entre esta CLI y un agente de código —son capas distintas—, sino tratar a ambas como dependencias con versión fija, credenciales fuera del shell y métricas propias.

Fuentes

• OpenAI CLI - GitHub (fuente original)
• OpenAI gives Codex reusable cloud environments that work across devices - TechCrunch
• 5 Best Claude Code Alternatives for 2026 - TechRepublic
• Researchers escape OpenAI Codex sandbox to run commands on host - BleepingComputer