TL;DR - 48 小时连发两个补丁,主题不是加功能,是「把静默故障关掉」

2026 年 11 月 8 日 19:31 UTC,OpenClaw 发布 v2026.11.2;48 小时后,11 月 10 日 18:53 UTC,又发布 v2026.11.3。两版官方口径一致:no new features,全是补丁。

规模先摆清楚:v2026.11.2 是 113 个 pull request、53 次直接提交、64 个 GitHub 账号;v2026.11.3 是 56 个 pull request、44 次直接提交、36 位贡献者。

主题则是一句话:关掉静默故障。v2026.11.2 修掉三件事——更新器把自己卡死、定时提醒静默消失、工作区 PATH 注入;v2026.11.3 直接被官方标为 Security release,把私密子代理结果外泄、工具失败被当成成功、凭据发错目的地一并收口。

一、v2026.11.2:先修「会卡住的那把伞」

这一版最反常识的修复,是更新器修更新器。

  • #178126:更新历史过载时,快照检查失败导致更新中断。官方特别标注:这个修复必须先装进本地更新器才生效,受影响的是 2026.10.4 装机,官方为此提供了专门的更新恢复指引。
  • #184384:更新某个 profile 时,检查过程却去读了另一个 profile 的数据库,导致更新失败;老版本更新器跑自己的检查 worker 时需要更新的运行时。
  • #188015:watched update 在一次临时读取更新账本失败后,丢失进度与完成通知。
  • #187998(v2026.11.3):部分被中断的更新报告成功,而不是保留取消状态与恢复路径。
  • #193884(v2026.11.3):中断的托管更新与修复会让 Gateway 停在停止状态。

这一串连起来读,是一条完整的失败链:更新器卡住 → 用户改不了版本 → 修的东西装不进去 → 故障一直在线上。11.2 和 11.3 都在拆这条链。

二、定时提醒的静默消失:文本里提到 heartbeat 就会被丢掉

#129650 修的是一个存在很久的怪问题:定时提醒的正文里如果提到 heartbeat 轮询或唤醒,这条提醒会被直接丢弃。

过去子串过滤器把这类文本误判为「内部唤醒噪音」,无声扔掉。现在改为前缀分类器。这条对自动化密集的企业用户杀伤力极大:它不是漏发一条,是让「任务还在跑」这件事看起来依然正常。

同一批自动化保护还有 #167857(自动化在无法确认活动所有权时,会删掉自己的排程并取消自己的运行)、#176745(保留清理不再误删运行中的 cron 会话)、#177681(cron 编辑标志留空时,旧的失败告警渠道与账号覆盖值不会被清掉)、#187637(定时播报在没有指定账号时,会套用错误的会话身份)。

三、PATH 注入与日志止写:11.2 里的两条安全边界

#191102:CLI 启动时不再把工作区内的 mise / XDG 可执行路径加进子进程 PATH。官方口径是:自动发现工具链现在要求这些工具根目录位于工作区之外。这是一条典型的「工作区即攻击面」修复——工作区里的文件,曾经可以决定 Agent 调用的程序。

#172963:不再把助手回复抄进指定的 Gateway 投递日志与停滞会话日志,并从 verbose 级别 iMessage 日志里移除消息预览。同批还有 #173422(不再写入 LINE postback 原始数据)、#174526(Matrix SDK 日志去除验证与成员内容)、#174544(Codex 工具详细错误不再进运维提示日志)、#174998(内置语言服务器 stderr 不再进 debug 日志)。

四、v2026.11.3:官方直接标成 Security release

11.3 的 release notes 第一句就是 “Security release”,核心列出三项:工作区传输的证书校验、沙盒图片预览的目录边界、凭据暴露面收窄。

  • #125646:空指纹标志此前会抑制掉同一 Gateway 端点已保存的证书固定(certificate pin)。
  • #190002:空白的工作者传输 TLS 指纹会直接关掉证书校验,让工作区上传下载失去验证。现在空 pin 走正常 CA 校验,非空但畸形的 HTTPS pin 被拒绝。
  • #176203:强制沙盒会话中的会话图片预览读取允许目录之外的文件——即使开着 Full Access 模式也越界;管理员仍可显式放行特定外部图片。

五、私密子代理结果不再混进流式回复

#188490:私密补全文本不再抵达会话消息订阅者,私密活动也不会在会话准备阶段出现在 Control UI 里。

这条是 11.3 里最该划重点的一条。在群聊或共享会话里跑后台任务,子代理的完成结果以前会被带进流式输出的聊天回复。现在它只留在该留的地方——等于加了一道隔离闸。

六、工具失败不再以「成功」收尾

#182458:当工具被拒绝、只产生了一条 blocked-tool 警告时,未被应答的运行会被报告为成功。现在这类失败会明确上报。

#178893:父任务在取消子代理、被替补工作接管后,无法恢复——残留的完成回执把交接卡死。现在替补存活并完成后,父任务可以立即接手。

两条合起来:失败要说得出来,交接要走得下去。

七、凭据隔离:这一版最密集的一块

v2026.11.3 的凭据类修复覆盖了 5 个方向,每一个都对应一种「发错地方」:

  • #178444:Firecrawl 搜索复用另一个 API key 的缓存结果;
  • #190706:Firecrawl 搜索与抓取混用另一条连接的端点凭据(依赖这种混用的配置需要调整);
  • #177974:Exa 搜索与 Tavily 搜索/抽取跨 API 凭据复用缓存结果;
  • #184966:记忆(memory)的嵌入凭据被另一个没有共享端点的供应商继承;
  • #190618:配置读取会暴露 env.vars 里的内联值;无法安全脱敏时直接抑制原始配置输出;
  • #178745:Exa 的 API key 在错误回显时被脱敏;
  • #179198:托管 Signal 守护进程继承的环境被限制,代理、信任库与自定义包装变量不再继承;
  • #179415:内置语言服务器默认不再拿到 Gateway 凭据。

对多租户、多账号的团队,这一组修复的实际意义是:缓存命中不再跨凭据串号。过去 A 客户的搜索结果可能因为缓存命中而出现在 B 客户的会话里,而报告本身看不出任何异常。

八、认证截止时间与取消信号穿透

#189144:嵌入式 Agent 运行在凭据查找或供应商认证停滞时,会超过截止时间继续等待,迟到的认证结果还可能在取消或超时之后把凭据装回去。现在到 run 截止时间就停,取消信号也能穿透认证过程。

#193899:对输出上限未知的模型,提高上下文窗口内的回退值,减少回复与工具调用被截断;Doctor 会识别符合条件的历史保存上限,但不改动它们。

#176203 / #187884(安全侧):动态 shell 的 test 与 [ 判定在 Gateway allowlist 下需要正常授权,关掉自动批准时可能被拒绝;部分含元字符的引号字面文件名同样需要授权。

九、对企业用户的判断:准入条件的两半

11 月 7 日那篇 v2026.11.1 讲的是**「假成功要可核验」——报错要露出来。11/08 与 11/10 这两版补的是另一半:「静默丢失与静默越界要收口」**。

任务不能悄悄没了(#129650、#182458、#178893),私密结果不能悄悄流出去(#188490),凭据不能悄悄发错地方(#178444、#190706、#184966、#179198、#179415),更新不能悄悄把 Gateway 留在停止状态(#193884、#187998)。两者合起来,构成了 Agent 进生产链路的准入条件。

可直接落地的三条动作:一是把 #182458 这类修复纳入验收清单,复测「工具被拒绝时这一轮是否如实报错」;二是升级到 11.2/11.3 后立刻验证更新器本身能否再更新一次——#178126 的修复必须先落到本地更新器才生效;三是对多账号部署做一次缓存隔离检查,确认 Firecrawl、Exa、Tavily 的缓存不跨凭据复用。

FAQ(高频问题直答)

Q1:v2026.11.3 到底有多少 PR?社区资料写 34 个,官方写 56 个,哪个对? A:官方 release notes 的口径是 56 个 pull request、44 次直接提交、36 位贡献者。中文社区汇总稿写的「34 个 PR」与官方口径不一致,本文以官方 docs 为准。v2026.11.2 官方口径为 113 个 PR、53 次直接提交、64 个 GitHub 账号,这个数字在社区与第三方站点之间是一致的。

Q2:这两版有破坏性变更吗?需要改配置吗? A:没有。11.3 的 Changes 一栏官方明写无新配置项,常规升级即可,升级后照例重启 Gateway。11.2 有一条例外:手动升级过源码的老自动化任务,官方建议启动前跑一次 openclaw doctor --fix,修复旧任务缺失的推理账户记录。

Q3:我只升 11.3 不升 11.2 行不行? A:官方与社区汇总的答案一致:两版连续装,不用跳。11.2 修的是更新器自身与自动化可靠性,11.3 修的是安全与可见性,依赖关系是「先让更新能走通,再修边界」。

Q4:哪些人最应该立刻升级? A:三类。在团队或群里跑 OpenClaw 的——私密子代理结果隔离(#188490)必须跟上;重度自动化用户——工具失败可见与交接不卡死(#182458、#178893);在意凭据安全的——这批凭据隔离修复建议所有用户升级。另外,2026.10.4 装机且更新失败的必须装上 11.2 才能恢复更新能力。

Q5:#129650 那个「提醒消失」到底是怎么触发的? A:触发条件是提醒正文里提到 heartbeat 轮询或唤醒。过去子串过滤器把这类文本误判为内部唤醒噪音并无声丢弃,现在改成前缀分类器。换句话说,只要你的定时提醒里写了「轮询」「唤醒」这类词,就可能触发。

Q6:沙盒图片预览那条(#176203)影响我开 Full Access 的部署吗? A:影响,而且是收紧。修复前强制沙盒会话的图片预览可以读允许目录之外的文件,即使开着 Full Access 模式;修复后严格限制在允许文件夹内,管理员仍可显式放行特定外部图片。如果你依赖「Full Access 下预览任意路径图片」,升级后需要显式放行。

Q7:这些版本的风险面收敛了吗? A:收敛得很快,但没有完全收敛。11.2 与 11.3 都仍在修「更新中断」「备份超时」「Gateway 停在停止状态」这类运维级问题(#193884、#187197、#194239、#187998),其中多条官方明确写着「这个修复必须先装进本地更新器才生效」——也就是说,升级本身仍可能失败一次,升级后再跑一次更新才是验证闭环。

关键术语(Key Terminology)

  • 静默故障(Silent Failure):系统不报错、不失败、但结果与预期不符的故障形态。11/08 与 11/10 两版的核心主题——任务被悄悄丢弃、失败被悄悄记成成功、凭据被悄悄发错地方。
  • 更新器自举修复(Updater Self-Repair):修复必须先装进本地已安装的更新器才生效的补丁。#178126 是典型:选一个更新版本并不能修好那个卡住的更新器,得先把它装上。
  • 前缀分类器(Prefix Classifier):按文本开头而非任意子串做判定的过滤规则。#129650 用它替代了会把「heartbeat 轮询」误判成内部噪音的子串过滤。
  • 证书固定(Certificate Pinning):把服务端的证书指纹写死,防止中间人替换证书。#125646 与 #190002 修的正是「空指纹反而取消固定」这一反直觉失效路径。
  • MCP 工具授权保留(MCP Tool Grants):CLI 进程复用时,已完成的 warm turn 不应继续持有 MCP 工具授权。#191980 在 11.2 里收紧了这层授权的生命周期。
  • 缓存隔离(Cache Isolation):搜索与抓取类插件的缓存按连接凭据分区,避免 A 凭据的结果被 B 凭据命中。#178444、#190706、#177974 属于同一类。
  • Full Access 与沙盒的边界优先级:即使处于 Full Access 模式,强制沙盒会话的图片预览仍受允许目录约束,除非管理员显式放行。
  • 工作区 PATH 注入:工作区内可控的可执行文件路径被注入到子进程 PATH,从而影响 Agent 实际调用的程序。#191102 关闭了这条通路。

参考资料

官方一手

版本追踪与二次报道(多源交叉验证)