OpenClaw v2026.4.21 安全更新:OpenAI/images 已修复

OpenClaw 刚发布了 v2026.4.21，这是一个正式版版本。这次更新不是单点小修，而是把 OpenAI/images 放到了更前面，同时又补了一批稳定性和边界能力。如果你已经在比较认真地使用 OpenClaw，这版很值得尽快看一遍。

这是本次更新最核心的一项变化，已经能明显看出 OpenClaw 在长期运行和能力沉淀上的推进。

这项变化更偏可视化和可管理性，能提升你在真实使用中的可控感。

这一部分更偏稳定性或安全边界补强，虽然不一定最显眼，但价值很高。

这部分属于补强型更新，和主变化一起看，更容易理解这版为什么值得升级。

这部分属于补强型更新，和主变化一起看，更容易理解这版为什么值得升级。

这次更新主要集中在哪些方向

适合谁尽快了解

适合正在重度使用 OpenClaw、关注长期记忆体系、控制台管理能力与真实环境稳定性的用户尽快了解。

本次更新包含一项新特性升级和多项重要 Bug 修复。

• OpenAI/images：将内置的图片生成 Provider 和媒体烟雾测试默认切换至 gpt-image-2，并在文档和工具元数据中启用 OpenAI 最新 2K/4K 分辨率规格。

• Plugins/doctor：修复 doctor 路径中插件运行时依赖项的检测逻辑，使打包安装能够独立恢复缺失的 channel/provider 依赖，无需大规模安装核心依赖。
• 图片生成：在自动 Provider 降级之前，以 warn 级别记录失败的 provider/model 候选，即使后续 provider 成功，用户也能够在网关日志中看到 OpenAI 图片请求的具体失败原因。
• Auth/commands：强化 owner 命令权限校验。当 enforceOwnerForCommands=true 且 commands.ownerAllowFrom 未配置时，不再将通配符 channel allowFrom 或空的 owner-candidate 列表视为合法_owner_身份，有效防止非 Owner 绕过权限限制调用 Owner 专属命令。（#69774）感谢 @drobison00。
• Slack：在运行时出站发送中保留 thread alias，使调用方在提供 threadTs 时，通用运行时发送能够保持在预期的 Slack 线程中。（#62947）感谢 @bek91。
• Browser：对 act 路径中无效的 ax<N> 无障碍引用立即拒绝，而非等到浏览器操作超时，从而避免不必要的等待。（#69924）感谢 @Patrick-Erichsen。
• npm/install：在根 package.json 的 overrides 中加入 node-domexception 别名，彻底切断 google-auth-library → gaxios → node-fetch → fetch-blob → node-domexception 这条已弃用的依赖链，解决 npm 安装时产生弃用警告的问题。感谢 @vincentkoc。

发布地址：https://github.com/openclaw/openclaw/releases/tag/v2026.4.21