diff --git a/cli/src/opencode/opencodeLocal.ts b/cli/src/opencode/opencodeLocal.ts
index 3b2649a1..fcba1ef2 100644
--- a/cli/src/opencode/opencodeLocal.ts
+++ b/cli/src/opencode/opencodeLocal.ts
@@ -9,6 +9,9 @@ export async function opencodeLocal(opts: {
 }): Promise<void> {
     const args: string[] = [];
     if (opts.sessionId) {
+        if (process.platform === 'win32' && /[&|<>^()%!"\r\n]/u.test(opts.sessionId)) {
+            throw new Error('Invalid sessionId');
+        }
         args.push('--session', opts.sessionId);
     }