🚀 v2026.4.20-beta.1 预发布 BETA
4月21日推送，又一个诚意满满的beta版本——Cron状态分离、Moonshot K2.6默认、Mattermost流式预览齐上阵。
✨新功能
- Cron状态分离：运行时执行状态拆入
jobs-state.json，让 jobs.json 保持稳定可Git追踪。以后cron定义和运行状态各管各的，再也不怕误提交运行数据了。
- Moonshot K2.6默认：捆绑Moonshot全面切到
kimi-k2.6，K2.5保留兼容；支持 thinking.keep = "all" 在K2.6上开启。
- 分层模型定价：支持缓存目录和配置模型的分层计费，附K2.6/K2.5 token用量估算。
- Mattermost流式预览：思考过程、工具调用、部分回复整合成单条草稿预览，完成时原地定稿。
- Agent Compaction通知：上下文压缩时可选发送开始/完成通知。
- Plugin Detached Task：插件执行器可自行管理detached任务生命周期和取消，不必再深入核心task内部。
- BlueBubbles群组系统提示：按群组注入
systemPrompt 配置，支持通配符匹配。
- Onboard向导重设计：安全声明黄色Banner + 列表化 + 加载Spinner，首次配置体验更丝滑。
🔧修复
- YOLO Exec修复：安全模式 + ask=off下不再拒绝Python/Node stdin执行，heredoc终于能用了。
- Terminal日志优化：
sanitizeForLog() 从迭代循环改为单次正则，保留ANSI行为但更快。
- QA套件严格化：
openclaw qa 默认失败即中断，CI更可靠。
🔧 v2026.4.19-beta.2 修复版 BETA
4月19日发布，精准修了几个让运营同学头疼的问题。
- OpenAI流式Usage修复：始终发送
stream_options.include_usage，自定义OpenAI兼容后端终于能报告真实token用量而不是0%。
- 嵌套Session隔离：长运行的嵌套agent不再阻塞其他无关session，按目标session隔离工作。
- Usage状态保留：provider省略usage元数据时，/status保留上次已知值而非回退到0%。
- 跨Agent Channel路由：子agent spawn使用目标agent绑定channel，共享房间不再错继承调用方账号。
- Telegram回调修复：过期分页按钮不再卡住更新水位线。
- CDP WSL兼容：WSL到Windows Chrome端点不再误报离线。
🏆 v2026.4.15 稳定版 STABLE
4月16日发布——当前最新稳定版，含金量极高。Claude Opus 4.7默认、Gemini TTS捆绑、LanceDB云存储三件套直接拉满。
✨核心新功能
- Claude Opus 4.7默认：Anthropic模型选择全面升级，opus别名和图像理解默认切到Opus 4.7。
- Gemini TTS捆绑：Google插件内置文字转语音，支持语音选择、WAV输出和PCM电话输出。
- Model Auth状态卡片：一眼看OAuth令牌健康状态和provider限流压力，过期时高亮提醒。
- LanceDB云端存储：记忆索引可跑在远程对象存储，不再仅限本地磁盘。
- GitHub Copilot嵌入：新增Copilot embedding provider用于memory search，插件可复用transport。
- 本地模型精简模式：
localModelLean: true 自动砍掉browser/cron/message等重工具，弱鸡本地模型也能跑得动。
- 插件依赖本地化：捆绑插件运行时依赖隔离到各自扩展，核心不再背锅，发布包更瘦。
🛡️安全修复
- 内置工具名碰撞拒绝：客户端定义工具名若与内置工具normalize冲突，直接400。
- Matrix DM pairing-store不再授权房间控制命令。
- Webchat音频嵌入路径强制
localRoots 容纳。
- Replay 401错误分类为replay-invalid，自动引导/new重置。
⚡性能优化
- 默认启动/skills提示预算缩减，记忆检索默认限excerpt长度，长session拉取更少上下文。
- Dreaming默认存储模式从inline改separate，dream日记不再污染session数据。
🛡️ 安全警报：13个CVE修复 CRITICAL
4月9-10日OpenClaw集中修复13个CVE，平均CVSS 7.0，两个Critical级。所有 < 2026.4.5 的实例均受影响。
⚠️ 63%的公开OpenClaw实例无认证层！
在无认证实例上，CVE-2026-35639和CVE-2026-35641可远程利用，无需凭据。
| CVE | CVSS | 描述 |
|---|
| CVE-2026-35639 | 8.7 | device.pair.approve权限提升 |
| CVE-2026-35641 | 8.4 | .npmrc本地插件/钩子任意代码执行 |
| CVE-2026-35636 | 7.1 | sessionId解析绕过Session隔离 |
| CVE-2026-35668 | 7.1 | 未归一化mediaUrl绕过沙箱媒体根 |
| CVE-2026-35652 | 6.9 | 回调分发未授权操作执行 |
| CVE-2026-35664 | 6.9 | 遗留卡片回调绕过DM配对 |
| CVE-2026-35645 | 6.1 | 合成operator.admin权限提升 |
立即更新：docker pull openclaw/openclaw:latest && docker compose up -d
🌐 行业动态 TRENDING
- Agent基础设施竞赛白热化：Claude Code、OpenClaw、Anthropic、Visa纷纷加码agent基础设施和自动化，2026年4月成为Agent元年分水岭。
- OpenClaw GitHub 347,000+ Stars：从2025年11月的Clawdbot一路狂飙，2026年1月两次更名，3月突破25万星，4月已达34.7万。
- v2026.4.14 GPT-5.4智能路由：更智能的模型路由与恢复机制，Chrome CDP升级，消息平台可靠性全面增强。
- 本地安装安全争议：OpenClaw团队成员警告反对本地安装，在HN引发605点热议，安全vs便捷的辩论持续发酵。
- DenchClaw CRM集成：基于OpenClaw框架的本地CRM获得395点热度，商业自动化落地案例增多。