未分类

OpenClaw 2026.4.14 发布：GPT-5.4 Pro 支持、安全加固与 7 项关键修复

Thinkingthigh的头像
作者 Thinkingthigh
2026年4月20日 2 分钟阅读
OpenClaw 2026.4.14 发布：GPT-5.4 Pro 支持、安全加固与 7 项关键修复已关闭评论

——

OpenClaw 2026.4.14 发布：GPT-5.4 Pro 支持、安全加固与 7 项关键修复

OpenClaw 作为开源 AI 网关的核心项目，2026.4.14 版本聚焦模型提供商兼容性与生产环境安全加固，为 GPT-5 系列模型提供前瞻支持，同时修复了 Ollama 本地部署、Slack 交互验证等关键问题。本文将逐条解读本次更新的技术价值与升级建议。

—

一、核心新功能：面向未来的模型支持

1.1 GPT-5.4 Pro 前瞻兼容

本次更新最引人注目的变化是对 OpenAI GPT-5.4 Pro 及 Codex 模型的前向兼容支持（forward-compat）。

// 配置示例：启用 GPT-5.4 Pro（上游目录更新前即可使用）
{
  "provider": "openai",
  "model": "gpt-5.4-pro",
  "apiKey": "${OPENAI_API_KEY}",
  // 新版本已内置 Codex 定价与限流参数
  "codexOptions": {
    "pricing": "auto-detect",  // 等待官方目录同步
    "listVisibility": true     // 在模型列表中可见
  }
}

技术价值：在 OpenAI 官方 API 目录正式更新前，开发者即可通过 OpenClaw 调用新模型，避免业务中断。该功能由社区贡献者 @jepson-liu 实现（#66453）。

1.2 Telegram 论坛主题智能识别

针对企业级 Telegram Bot 场景，新版本支持从论坛服务消息中自动学习主题名称，并将其注入 Agent 上下文：

• 场景：论坛主题触发；旧版本行为：仅显示数字主题 ID；2026.4.14 改进：显示人类可读主题名（如”技术支持-账单问题”）
• 场景：元数据传递；旧版本行为：主题信息丢失；2026.4.14 改进：完整传递至 prompt 元数据与插件钩子
• 场景：多主题会话；旧版本行为：上下文混淆；2026.4.14 改进：按主题名隔离对话历史
实现原理：监听 Telegram forum_topic_created / forum_topic_edited 服务消息，建立 topic_id → topic_name 映射表。

—

二、关键修复：稳定性与安全性提升

2.1 Ollama 本地模型超时问题（#63175）

问题现象：本地 Ollama 运行大模型时，频繁遭遇默认流式传输超时截断，而非遵循用户配置的 embedded-run timeout。

根因：Undici HTTP 客户端的流超时未正确继承全局配置。

修复方案：

配置文件中明确设置超时（单位：毫秒）

cat > openclaw.config.json << 'EOF'
{
  "agents": {
    "ollama": {
      "embeddedRunTimeout": 300000,  // 5 分钟
      "streamTimeout": 300000        // 新增：显式同步至 undici
    }
  }
}
EOF

感谢 @mindcraftreader 和 @vincentkoc 联合定位此问题。

2.2 Codex 模型注册表验证失败（#66180）

严重级别：高（导致自定义模型被静默丢弃）

Pi ModelRegistry 验证器因缺失 apiKey 字段拒绝 Codex 提供商条目，进而级联删除所有自定义模型配置。修复后输出示例：

{
  "provider": "codex",
  "models": ["codex-1", "codex-1-2025-04-15"],
  "apiKey": "${CODEX_API_KEY}",  // 修复：新增必需字段
  "validated": true
}

> ⚠️ 升级检查：运行 openclaw models validate 确认现有配置无警告。

2.3 Ollama 视觉模型工具调用失败（#59943）

图像/PDF 处理工具在解析 Ollama 视觉模型（如 llava 系列）时，因路径规范化缺失导致"未知模型"错误。修复后支持以下调用方式：

两种方式均可正常识别

openclaw tool run image-understand --model "ollama/llava:13b"
openclaw tool run image-understand --model "llava:13b" --provider ollama

2.4 Slack 交互事件安全加固（#66028）

漏洞描述：频道块操作（block-action）和模态交互事件绕过 allowFrom 白名单机制，在缺少 users 列表的频道中可被任意触发。

修复措施：

  • 强制应用全局 allowFrom 所有者白名单
  • 要求交互事件携带预期的 sender_id 交叉验证
  • 拒绝模糊频道类型（如未明确类型的共享频道）
安全配置示例

slack:
  allowFrom:
    - "U12345678"  # 指定允许的操作者
    - "U87654321"
  interactions:
    requireSenderVerification: true  # 新增：强制发送者验证
    rejectAmbiguousChannels: true     # 新增：拒绝模糊频道

> 注：未配置白名单时保持默认开放行为，避免破坏现有部署。

2.5 附件路径安全加固：fail-closed 策略（#66022）

当本地附件路径无法通过 realpath 解析时，旧版本会降级为非规范化比较，潜在绕过 canonical-roots 允许列表。新版本采用 fail-closed 策略：

• 场景：realpath 未达预期；旧版本：降级比较，可能通过；新版本：直接拒绝
• 场景：同时存在 URL；旧版本：优先本地路径；新版本：回退至网络获取

2.6 网关工具危险配置拦截（#62006）

重大安全更新：模型-facing 的网关工具现在阻止启用任何危险标志的 config.patch / config.apply 操作。

被拦截的标志包括：

  • dangerouslyDisableDeviceAuth
  • allowInsecureAuth
  • dangerouslyAllowHostHeaderOriginFallback
  • hooks.gmail.allowUnsafeExternalContent
  • tools.exec.applyPatch.workspaceOnly: false
// 此调用将被拒绝（通过模型网关）
{
  "tool": "config.patch",
  "params": {
    "path": "security.dangerouslyDisableDeviceAuth",
    "value": true  // ❌ 触发拦截
  }
}


// 已启用的标志不受影响（幂等安全）
{
  "tool": "config.patch", 
  "params": {
    "path": "logging.level",
    "value": "debug"  // ✅ 允许，同补丁中无危险操作
  }
}

设计原则：直接认证的操作员 RPC 调用不受限制，保持管理灵活性。

2.7 Google Gemini 图像生成 404 修复

自动剥离 Google 基础 URL 中的 /openai 后缀，仅在调用原生 Gemini 图像 API 时生效，解决路径冲突导致的 404 错误。

---

三、升级指南

3.1 快速升级命令

Docker 部署

docker pull openclaw/openclaw:v2026.4.14


二进制升级

curl -fsSL https://openclaw.dev/install.sh | bash -s -- --version 2026.4.14


验证版本

openclaw --version

输出: openclaw version 2026.4.14 (build 2026-04-14T08:32:15Z)

3.2 配置兼容性检查清单

• 检查项：模型配置验证；命令：openclaw models validate；预期结果：无 apiKey 相关警告
• 检查项：安全审计；命令：openclaw security audit；预期结果：了解当前危险标志状态
• 检查项：Slack 交互测试；命令：openclaw test slack-interaction；预期结果：白名单生效
• 检查项：Ollama 超时；命令：openclaw test ollama-stream --timeout 300；预期结果：完整响应无截断
---

四、常见问题（FAQ）

Q1: GPT-5.4 Pro 尚未正式发布，为什么要提前支持？

A: 前向兼容设计允许开发者在 OpenAI 官方目录更新前完成集成测试。OpenClaw 内置的定价/限流参数会在上游同步后自动刷新，无需手动干预。

Q2: 升级后 Ollama 仍然超时，如何排查？

A: 执行以下步骤：
1. 确认配置中 embeddedRunTimeout 与 streamTimeout 一致
2. 检查 Ollama 服务端日志：ollama serve --verbose
3. 测试直连排除网络层问题：curl http://localhost:11434/api/generate

Q3: openclaw security audit 显示的危险标志需要立即处理吗？

A: 视场景而定。生产环境建议逐步消除；开发/测试环境可保留，但需确保网关工具拦截机制已启用（本版本默认开启）。

Q4: Slack 白名单配置后现有工作流失效怎么办？

A: 临时回退方案：在配置中显式设置 interactions.requireSenderVerification: false。长期建议：使用 openclaw test slack-interaction --list-users 获取有效用户 ID 更新白名单。

Q5: 如何确认附件安全加固已生效？

A: 创建测试用例：

应被拒绝（假设 /tmp/suspicious 不在 canonical-roots 中）

openclaw tool run pdf-parse --file "/tmp/suspicious/../../../etc/passwd"

预期错误：Attachment path canonicalization failed

---

五、总结与下一步

OpenClaw 2026.4.14 是一次质量导向的维护版本，核心价值在于：

1. 前瞻性：GPT-5 系列就绪，降低未来迁移成本
2. 安全性：3 项安全加固覆盖网关工具、Slack 交互、附件处理
3. 稳定性：Ollama 超时与模型注册表修复解决生产痛点

建议行动：

  • [ ] 本周内完成测试环境升级验证
  • [ ] 运行 openclaw security audit 审查现有配置
  • [ ] 订阅 OpenClaw 安全通告 获取漏洞预警

---

相关阅读

---

参考来源

• 来源：官方 Release Note；链接：https://github.com/openclaw/openclaw/releases/tag/v2026.4.14
• 来源：GPT-5.4 Pro 支持 PR；链接：https://github.com/openclaw/openclaw/pull/66453
• 来源：Telegram 主题识别 PR；链接：https://github.com/openclaw/openclaw/pull/65973
• 来源：Ollama 超时修复 PR；链接：https://github.com/openclaw/openclaw/pull/63175
• 来源：Codex apiKey 修复 PR；链接：https://github.com/openclaw/openclaw/pull/66180
• 来源：视觉模型工具修复 PR；链接：https://github.com/openclaw/openclaw/pull/59943
• 来源：Slack 安全加固 PR；链接：https://github.com/openclaw/openclaw/pull/66028
• 来源：附件路径安全 PR；链接：https://github.com/openclaw/openclaw/pull/66022
• 来源：网关工具拦截 PR；链接：https://github.com/openclaw/openclaw/pull/62006
---

本文基于 OpenClaw 2026.4.14 官方发布说明编写，技术细节以官方文档为准。如有疑问，欢迎在 GitHub Discussions 交流。

Thinkingthigh的头像
作者

Thinkingthigh

关注我
其他文章
Copyright 2026 — Openclaw教学小站. All rights reserved. 京ICP备15007639号-1