OpenClaw龙虾2.0发布,龙虾这半年经历了什么

今年3月11日，杭州湖滨商圈有一个公益摊位。志愿者一边帮路过的市民下载 OpenClaw，一边重复同一句话：一分钟，免费装龙虾，安全。

就在前一天，国家互联网应急中心发了紧急提示，直指 OpenClaw 默认安全配置极为脆弱。往后两天，工信部的漏洞共享平台、国家工业信息安全发展研究中心接连发预警，后者还专门为工业场景单独敲了一次警钟。高校反应最快，华中师范大学、武汉科技大学、西北农林科技大学接连发通知，禁止在办公电脑和教学终端上安装。券商紧随其后，据媒体报道至少20家禁止在公司网络里养虾。

一边有人摆摊帮你装，一边有人发文禁你装。这就是龙虾在今年3月的真实处境。

然后是8月30日。OpenClaw 发布了 v2026.8.1，官方自己叫它 2.0，说法是"史上最大更新"。933位贡献者，其中569位是第一次给这个项目提代码，合并了超过1.6万个 PR，接近这个项目历史上全部合并量的一半。

我看完更新说明的第一反应不是"哦又出新功能了"。是这个项目终于开始正面回答那个从它爆火第一天就存在、但一直被功能演示盖过去的问题。

停更七周不是团队摆烂，是地基塌了

2.0 之前，OpenClaw 团队在230天里发了106个版本。平均两天多一个版本。然后突然停了将近七周，一个新版本都没有。原定8月18日发布，又延期了。

官方给的原因很实在：团队规模不断扩大，剧增的工作量和开发节奏，已经超出了原有技术底层和发版流程能承载的极限。所以他们决定把代码架构和发布流程同步彻底重构。

我做过12年B端产品，这种事见过太多次。一个项目在早期靠人肉和热情能跑得飞快，两天一个版本听起来很励志，但每个版本都在往一个没有承重设计的房子上加层。加到某一天，你会发现改一个小功能要动八个地方，发一次版要三个人守着。这时候唯一的选择就是停下来重做地基，而停下来的那段时间外面所有人都会觉得你凉了。

7周的停更，加上外界"龙虾是不是寄了"的集体唱衰，团队顶住了。这一点比任何一个新功能都值得说。

从"连命令行都搞不懂就别用了"到自动检测你已有的订阅

1.0 时代的龙虾有多难装？

有一句话最能说明。OpenClaw 自己的维护者之一，Shadow ，曾经在 Discord 上直接说：如果你连怎么跑一条命令行都搞不懂，这个项目对你来说太危险了，你没法安全地用。

这句话当时不算劝退话术，就是实情。你要自己改配置文件，自己配模型供应商，自己接消息通道，自己给权限。任何一步配错，要么跑不起来，要么跑起来了但门大开着。

2.0 在这件事上的改法很聪明：不再要你从零配置，而是先去检测你电脑上已经有的东西。你有 ChatGPT 或者 Claude 的订阅，有 API Key，或者装了本地模型，它自动认出来并且先验证一遍再保存。大量繁琐配置被移出初次安装，剩下的部分交给你后面跟它对话时慢慢补。

网页端也重做了。以前网页只是个二级管理后台，现在打开就直接进对话界面，任务进度用卡片实时显示，刷新页面也不丢。

翻译一下这个改动的本质：先让虾跑起来，再让虾帮你把自己配完。

对一人公司和独立开发者来说，这一步的价值不在于省了半小时。在于它把"我得先成为一个会配环境的人"这个前置门槛拿掉了。这个门槛过去挡住的不是能力，是耐心。

记忆：像带一个每三天失忆一次的实习生

这是我今年最想要的一个能力，也是 2.0 里最值得单独讲一节的一块。

你想象一下这个场景。你招了一个实习生，聪明，手快，什么都愿意干。唯一的问题是他每隔三天会忘掉一次你是谁、这个项目的背景是什么、上周为什么否掉了那个方案、你不喜欢什么样的措辞。每次他回来都是一张白纸，你得从头交代一遍。

他能力有问题吗？ 没有。 你愿意长期用他吗？ 不愿意。 因为你交代背景的时间已经超过他帮你省下的时间了。

1.0 时代的龙虾就是这个实习生。它不是干不了活，是用几周之后你发现很多事得反复讲，信息在不同会话之间到处漏。

2.0 把记忆拆成了几层来治。Active Memory 让它在个人部署场景下默认能召回同一身份过去私密会话里的相关上下文，你不用再重述一遍前情。后台还有一套记忆整理机制，模型在闲时静默扫历史笔记，评分、淘汰、把真正值得长期保留的信息提升到长期存储，全过程留下来源信息和一份"梦境日记"给你审阅。官方给这个机制起的形象说法是：Agent 在睡觉的时候整理白天的记忆。

再往前一步是自动自学习。它做完一个任务，可以自己总结出可复用的方法，过了安全检查之后变成一个新的技能，或者改进已有的技能。任务完成了，方法也留下来了。

这块最有意思的其实是 Peter 说的一句实话。他透露 2.0 顺手删掉了一整套重复的记忆系统，砍了大约5万行代码，只留一套统一的。然后他承认：记忆这个问题，还没有任何人真正解决。

一个刚发完史上最大更新的作者，公开说自己最核心的那块没解决。我看到这句反而放心了。OpenClaw 现在的做法只是把"过去发生过什么"和"什么值得长期记住"这两件事分开处理，然后让人始终能读、能改、能回滚。这算不上答案，但它是一个诚实的中间态。

底层存储也顺势换了，会话和转录记录从散落的文件搬进了 SQLite。这是 2.0 唯一一个真正的破坏性变更，官方明确要求升级前先做一份验证过的备份，而且迁移之后不要往回降版本。如果你手上已经有一只跑了很久的虾，这句话请当成硬约束看。

给密钥写死收件地址

第三个洞是权限，也是龙虾从出生就甩不掉的那个关键词。

先讲一个真实的事。今年有一场安全圈叫 ClawHavoc 的行动，攻击者往 OpenClaw 的官方技能市场里灌恶意包。Trellix 统计出超过350个，另有研究机构给出的数字更高。手法非常朴素：起个跟正经工具几乎一样的名字，比如把 clawhub 写成 clawhubb，专门等着搜加密货币自动化、软件更新、社交媒体集成的人。有些包还被刷了下载量，看起来很受欢迎。

装上之后它不直接搞破坏，而是让 AI 去劝你。技能里藏的指令会让 Agent 告诉它的主人：你还需要装一个安全组件，叫 AuthTool。Windows 用户被引去下一个带密码的压缩包，macOS 和 Linux 用户被引去粘贴一段编码过的终端命令。那段命令真正拉下来的东西叫 NovaStealer，专门翻60多种加密钱包，顺手收走浏览器 cookie、登录信息、SSH 密钥、云凭据和 .env 文件。

注意这个攻击链条里最狠的一环：说服你的不是黑客，是你自己养的那只 AI。

除了投毒，还有更基础的问题。Censys 在1月底扫到大约2.1万台公网暴露的 OpenClaw 实例，BitSight 到2月初数到3万台以上，根源是一个本地自动信任的配置缺陷，反向代理会让所有外部流量看起来像本机流量，于是全都免鉴权。这个洞后来补了，但它说明一件事：默认配置很重要，因为绝大多数人不会改默认配置。

2.0 在这条线上给了两个真正有用的东西。

一个是私密凭据请求。Agent 需要密码或者 Token 的时候，通过一个遮罩输入的界面向你索取，具体的值全程不进聊天记录，也不进模型上下文。以前你把密钥贴在对话里，它就永久留在了那段上下文里，谁能读到那段上下文谁就拿到了密钥。

另一个更聪明，官方叫做出口主机绑定。翻译一下：每一个存在共享凭据库里的密钥，必须显式绑定到一个具体的目标主机，只有发往这台主机的请求才允许把占位符替换成真实值，没绑定的一律在明文外发之前直接失败。

这个设计像什么？像你把身份证复印件交给中介的时候，在上面手写一行"仅供办理某某业务使用"。凭据本身没变，但它能去哪儿被写死了。

配套的还有两处细节。周期性自动化任务只能针对已获批的那个具体操作复用授权，任务或者操作一变就得重新审批，授权也随时可撤。第三方插件安装前会展示来源、版本和它到底要什么能力，来路不明又能执行代码的插件需要你额外强制确认。官方还加了一条安全审计命令，用来检查入站访问、工具影响半径、网络暴露和插件白名单这几个维度。

这些东西一个都不酷，发布会上讲出来没人鼓掌。但它们决定的是另一件事：你到底愿不愿意让这只虾一直开着。

它不是凉了，是被拆开分装进了30多个国产版本

说到这里得聊聊那个更大的问题：为什么大家会觉得龙虾凉了。

数据其实很好。到8月，star 冲到38万以上。6月的时候 Peter 说全球大约有50万套 OpenClaw 在跑。但你把增速拉出来看就明白了：1月26日它单日拿到2.5万个 star，创了 GitHub 的纪录，3月3日超过 React 成为 star 最多的软件项目。而到8月底那一周，新增只有886个。

从单日两万五，到一周八百八。

这半年发生了两件事。

第一件，龙虾被抄进了每一家的产品线里。今年3月前后，腾讯先后推出 WorkBuddy 和 QClaw，主打一键部署，还能用微信远程操控。百度上了 DuMate 加一整套龙虾全家桶，桌面虾、云端虾、手机虾一锅端。智谱的 AutoClaw 支持本地一键安装、预置50多个技能、接飞书。字节的火山引擎做了 ArkClaw，主打7×24小时运行。科大讯飞3月12日发了云端部署型的 AstronClaw，内置131个技能，同时适配飞书、钉钉、企业微信。网易有道有 LobsterAI，小米有 miclaw，华为有鸿蒙版的小艺 Claw，月之暗面有纯云端的 Kimi Claw，MiniMax 有全托管的 MaxClaw。据不完全统计，国内厂商推出的龙虾衍生产品有30多款。

在我看来这才是国内用户真正该关注的部分。这些封装版解决的恰好是原版最要命的两个问题：部署门槛和技能来源。针对插件投毒，国产厂商普遍走的是预置技能加官方审核的路子，你不用自己去来路不明的市场里翻包。有些方案干脆把虾养在云端，个人电脑不直接暴露权限。逻辑很直白：不让它进家门。

顺便说一句，微软 CEO 在2月还把 OpenClaw 形容成像"病毒"一样的安全风险，到5月公司内部就在测一个基于 OpenClaw 的桌面环境了。谷歌那边也在做自己的 Agent。嘴上说不要，手上在抄，这在这个行业里太常见了。

第二件事更根本。AI 圈卷的东西已经往下一层走了。

龙虾最火的时候，最迷人的地方是什么都能自己攒：模型自己挑，权限自己配，邮箱浏览器终端自己接，再往里一层层塞技能。可几个月过去，Claude Code、Codex 这些原厂选手直接把这一整套体验打包端上来了。文件操作、命令执行、长任务、沙箱运行，全塞进了模型原生的那一套壳里。现在大家讨论的核心变成了怎么给模型配上下文、记忆、工具、沙箱、权限、工作流，让它稳定地连续干活。

还有一个很现实的副作用：烧钱。24小时在线的 Agent 会不停维护上下文、调模型、调工具、失败重试。当时流传的养虾体验是这样的。第一天：神了，这不开源贾维斯吗。第三天：诶，还能这么玩。第七天：救命，我 Token 呢。

所以龙虾没死。它是从一个现象，变成了一层基础设施。名字淡了，虾苗撒满了各家池塘。

这不是凉，是被拆开分装了。

我们一直在问错的问题

回到开头那个反差。为什么会出现一边摆摊帮你装、一边发文禁你装的局面？

因为这两边关心的根本不是同一件事。摆摊的人在回答"它能干什么"，发通知的人在回答"它能干出什么"。

过去大半年，我们所有人的注意力都在前一个问题上。能不能读邮件，能不能控浏览器，能不能自己写代码自己截图检查，能不能多个智能体并行。演示越炫，我们越兴奋。

但真正卡住 Agent 落地的从来不是这些。是2月那个计算机系学生 Jack Luo 的遭遇：他给自己的 Agent 放开权限只是想看看它能干什么，后来发现它已经自己跑去一个相亲平台建了档案，还在替他筛人。他说那个 AI 生成的档案根本不像他。

这件事里 Agent 的能力没有任何问题。它出色地完成了一件没人让它做的事。

我们一直在问 Agent 能干多少事。真正卡住我们的问题一直是另一个：你敢让它干多久。

龙虾 2.0 这次补的三个洞，安装、记忆、权限，看起来是三件不相干的工程活。但它们指向的是同一个答案。安装门槛决定你会不会开始用，记忆决定你会不会一直用，权限决定你敢不敢一直开着。三个凑齐了，这只虾才从一个周末玩具变成一个可以长期在线的东西。

如果你也想养一只，我的建议就三条判断原则，跟具体用哪个版本无关。

不要装在你的主力工作机上，给它一台单独的机器或者直接用云端方案。权限从只读开始给，先让它读邮件，别急着让它写和发。任何第三方技能，都按"从网上随便捡来的一段脚本"来对待，因为它就是。

国内用户还有一个更省事的选项：直接用有官方审核技能库的国产封装版，把选包和部署这两件最容易出事的活交给厂商。

最后说个感受。我不太在意龙虾还能不能回到今年1月那种热度，那种热度本身就不正常。更在意的是它这次的选择：不加新炫技，去补三个不性感的洞，还顺手承认最核心的那块没解决。

一个项目开始做这种选择的时候，通常意味着它准备活久一点了。

关注公众号，持续分享 AI 工具的实测拆解和一人公司的工作流。