OpenClaw 3.22 & 3.23 更新速递:插件市场落地,全新安全加固

OpenClaw 在上周连发了两个版本更新，3.22 和 3.23 接踵而至。这两次更新有一个共同的主题——让 AI Agent 的生态更健康，让平台更值得信赖。插件市场正式落地、12 个破坏性变更集中上线、30+ 安全修复、40+ 稳定性修复……每一个动作都值得展开聊聊。

1. ClawHub：插件生态的大迁移

如果说之前 OpenClaw 的插件生态还有点"散装"，那么 3.22 版本彻底改变了这一局面。

openclaw plugins install <package> 现在会优先检查 ClawHub 再检查 npm。ClawHub 是 OpenClaw 自建的原生包注册表，专门为插件发现、版本管理和信任验证而构建。npm 一直是"借住"，ClawHub 才是第一个真正属于 OpenClaw 的家。

1.1 原生 install/search/update 流

openclaw skills search|install|update 和 openclaw plugins install clawhub:<package>，支持追踪更新元数据。

1.2 Claude/Codex/Cursor Bundle 支持

Compatible bundle 发现和安装，映射 bundle skills 为 OpenClaw skills，bundle settings.json 默认值应用到 embedded Pi。

1.3 Claude marketplace registry

Plugin@marketplace 安装、marketplace 列表和更新支持全面打通。

1.4 Plugin SDK 全面重构

旧的 openclaw/extension-api 完全移除，新的公共接口是 openclaw/plugin-sdk/*，每个插件获得更小、更稳定的 API 契约。同时新增 openclaw/plugin-sdk/testing 供插件作者编写 proper 测试。

Plugin SDK 的重构是其他一切的结构前提——通过收窄 openclaw/plugin-sdk/* 子路径而不是单体的 root 接口，每个插件都获得了更小、更稳定的 API 契约。这是 OpenClaw 从"快速迭代的开源项目"走向"可依赖的基础设施"的关键一步。

1.5 Memory 插件系统提示词

Active memory 插件现在可以注册自己的 system-prompt 部分。

2. 12 个破坏性变更：清偿技术债务

3.22 一口气推出了 12 个破坏性变更，看起来很激进，但放在一起看，它们讲述的是一个连贯的故事——OpenClaw 在烧掉通往 pre-1.0 架构的最后桥梁。

2.1 插件生态（4 项）

ClawHub 取代 npm 成为默认插件安装源
Plugin SDK 接口从 openclaw/extension-api 切换到 openclaw/plugin-sdk/*，无兼容层
Chrome MCP extension relay 移除，需要运行 openclaw doctor --fix 迁移
图片生成标准化到 agents.defaults.imageGenerationModel

2.2 遗留清理（3 项）

Legacy 环境变量名称（CLAWDBOT_* 和 MOLTBOT_*）全部移除，改用 OPENCLAW_*
遗留状态目录（.moltbot）移除，迁移到 ~/.openclaw
消息发现适配器需要 ChannelMessageActionAdapter.describeMessageTool(...)

2.3 安全与沙箱（3 项）

Exec 环境沙箱扩展：阻止 JVM 注入（MAVEN_OPTS、SBT_OPTS 等）、glibc 可调利用和 .NET 依赖劫持
Time wrapper 透明化：time 在 allowlist 评估期间被视为透明调度包装器
语音通话 webhook 加固：预认证 body 限制为 64KB/5s

2.4 平台协议（2 项）

Discord Carbon reconcile：原生命令部署切换到 Carbon reconcile，重启不再 churning slash commands
全新 Matrix 插件：基于官方 matrix-js-sdk 完全重写

3. 安全加固：30+ 补丁，覆盖 SMB 到 SSRF 到 Hangul

3.22 的安全部分体量巨大——不是 3 个，是 30+。

3.1 网络与协议层

Windows SMB 凭证泄漏被阻止（防止 file:// URL 触发外向 SMB 握手）；SSRF pinning 加固（HTTPS 代理隧道翻译）；Gateway auth scope 加固（忽略信任链中的欺骗性 loopback hops）；Gateway discovery 失败关闭。

3.2 沙箱与执行层

插件 marketplace manifest 沙箱化（拒绝在 repo 外扩展安装）；jq 从 safe-bin allowlist 移除（jq -n env 不再能转储 host secrets）；macOS exec HMAC 验证；Workspace hooks 默认禁用。

3.3 身份与认证层

设备配对绑定到 profile（iOS setup codes 不能请求超出范围的 roles）；Synology Chat user_id 绑定（防止可变用户名导致的回复混乱）；设备 token 轮换加固。

3.4 编码与注入层

Hangul filler 转义（空白 Unicode padding 不再能隐藏命令文本）；Nostr DM 预加密策略（在解密前执行 rate 和 size guards）；LINE webhook 解析加固；Email webhook 元数据清理。

这些补丁不会出现在营销海报上。但它们决定了谁敢把 OpenClaw 放进生产环境。值得信赖比有用更难。

4. 性能飞跃：Gateway 冷启动从分钟级到秒级

3.22 最有用户感知度的性能改进：Gateway 启动不再在每次启动时重新编译 bundled extension TypeScript。WhatsApp 级别的冷启动从几十秒回到了秒级。

4.1 模型预热

配置的 primary model 在 channel 启动前预热，带一次 transient retry——所以启动后第一条 Telegram 或 Discord 消息不再因 Unknown model 失败。

4.2 全栈懒加载

channel add 和 root help paths、插件/提供商回退解析、Discord provider/session runtime、媒体和链接理解——全部懒加载以削减启动 RSS 和延迟。

4.3 Agent 模型目录缓存

按 config 和 auth-file state 缓存，嵌入式 runner turns 停止支付重复的目录启动工作。

4.4 Session cache 清理

过期的嵌入式 runner session cache 条目被机会性清理，防止一次性 session 文件积累。

5. 新功能一览

5.1 搜索插件全家桶

三个新的 bundled web-search 插件——Exa（原生日期过滤）、Tavily（专用 search 和 extract 工具）、Firecrawl（search 和 scrape 工具）。

5.2 可插拔沙箱后端

提供 OpenShell（mirror 和 remote workspace 模式）和 SSH 后端。

5.3 Chromium 浏览器配置

browser.profiles.<name>.userDataDir 支持 Brave、Edge 和其他基于 Chromium 的浏览器。

5.4 交互体验改进

/btw 附带问题（无需工具的快速回答）；Control UI canvas 展开按钮；Appearance 设置中的圆角滑块；Per-agent thinking/reasoning/fast 默认值。

5.5 CLI 与配置改进

openclaw config set 支持 SecretRef 和 JSON/batch 赋值；Gateway 健康监控；支持从 GitHub main 安装。

6. 模型提供商：竞争持续升级

3.22 对多个模型提供商进行了更新：

6.1 OpenAI

默认模型切换到 gpt-5.4，并新增 gpt-5.4-mini 和 gpt-5.4-nano 两个轻量版本。

6.2 Anthropic Vertex

通过 Google Vertex AI 使用 Claude 的原生支持，对于已经在 GCP 上有投入的团队来说多了一个稳定的接入选择。

6.3 MiniMax

M2.7 和 M2.7-highspeed 两个版本加入，默认模型也从 M2.5 更新到了 M2.7。

6.4 其他提供商

Chutes 作为新的 bundled provider，支持插件自有的 OAuth 和 API-key 认证；xAI（Grok 目录同步）；Z.AI（GLM 4.5/4.6 模型系列）；Xiaomi（切换到 /v1 OpenAI-compatible 端点）；Mistral（定价修正）；GitHub Copilot（动态模型 ID 前向兼容）。

7. 平台全面改进

7.1 Android

系统感知暗色主题覆盖 onboarding 和 post-onboarding 屏幕；Talk voice 迁移到 gateway talk.speak 之后；通话记录搜索（callLog.search）和 SMS 搜索（sms.search）；联系人搜索修复（转义 % 和 _ 防止 SQL LIKE 通配符匹配）；相机内存修复。

7.2 Telegram

per-account 自定义 Bot API 端点支持；首条消息时 LLM 自动生成 forum topics 标签；topic 重命名和图标更新；网络稳定性改善（IPv4 回退在 polling 重启之间保持）。

7.3 Feishu (Lark)

交互式审批和 quick-action cards（callback context 路由）；ACP 和 subagent session binding；Reasoning stream（thinking tokens 在 streaming cards 中渲染为 markdown blockquotes）；扩展 action surface（消息读取/编辑、thread 回复、pinning）。

7.4 Matrix

基于官方 matrix-js-sdk 完全重写（提供迁移指南）；allowBots room policy；私有网络 opt-in；跨 gateway 重启的持久化 event dedup。

7.5 Discord

Carbon reconcile（重启停止 churning slash commands）；ACP abort forwarding（超时的 jobs 取消运行中的 turn）。

7.6 WhatsApp

重连修复（recency filter 恢复）；Active listener singleton（确保分割的 bundle chunks 共享一个 listener map）。

8. 3.23：术后恢复的三项重大变更

如果说 3.22 是大手术，3.23 就是确保病人存活的那一关。3.23 推出了 3 个破坏性变更（都是向前看的）和 40+ 修复。

8.1 Qwen 获得标准 DashScope 端点

Qwen provider 现在同时支持中国区和全球 API key 的标准按量计费 DashScope 端点，以及现有的 Coding Plan 端点。提供商组改名为 Qwen (Alibaba Cloud Model Studio)。

之前 Qwen 集成只支持 Coding Plan key——这只是阿里云产品的一个子集。如果你在中国或使用全球 DashScope API key 进行标准计费，Qwen 模型现在开箱即用，无需 workaround 配置。

8.2 Control UI 大改版

按钮组件统一（btn--icon、btn--ghost、btn--xs）；Knot 主题切换到黑白红配色，通过 WCAG 2.1 AA 对比度认证；Config sections 获得专属图标；圆角滑块替换为离散档位；无障碍改善（aria-labels）。

8.3 CSP Script Hashing

index.html 中的内联 <script> 块现在在 script-src CSP 指令中获得 SHA-256 哈希。内联脚本默认被阻止——只有显式哈希的 bootstrap 代码被允许。如果你在向 Control UI 注入自定义内联脚本，它们现在会被阻止（除非已哈希）。

9. 认证凭证大修：8 项修复

这是 3.22 之后最受损的领域，8 项修复讲述了一个关于在运行中的系统下重建基础设施会发生什么的故事。

9.1 核心修复：凭证写入回滚

live gateway auth-profile 写入会将新保存的凭证 reverting 回 stale 内存值——你粘贴一个新的 OpenAI token，保存，然后看着它 snap back 到过期的那个。Configure flow、Onboard flow 和 token-paste flow 都受同一个根本原因影响。已修复。

9.2 Operator scope 保留

设备 auth bypass 路径悄然丢弃 operator scopes，导致 operator sessions 在读取路由上失败或显示空白页面。

9.3 CLI channel auth

单 channel 设置自动选择唯一可用的登录 capable channel；Channel IDs 加强了针对原型链和控制字符滥用的防护。

9.4 ClawHub macOS 认证（3 项）

token 从 macOS Application Support 路径读取；Gateway skill browsing 使用已登录 auth state；Browse-all 切换到 search 避免未认证 429。

9.5 OAuth 代理支持

env 配置的 HTTP/HTTPS 代理调度器在 token 交换之前初始化，代理-required 环境可以完成 MiniMax 和 OpenAI Codex 登录流程。

9.6 Slash-command 授权

SecretRef 账户解析失败时不再崩溃或丢弃有效 allowlists。

10. 浏览器稳定性：别在浏览器 ready 之前宣告胜利

两个修复，一个主题：不要在浏览器真正 ready 之前宣告胜利。

10.1 macOS Chrome attach

通过 MCP 附加到现有 Chrome session 时，最初握手被当作"ready"，但浏览器标签实际还不可用。修复等待附加后会话标签完全可用后再继续。

10.2 Headless Linux CDP

在较慢的 headless Linux 设置上，CDP 检测期间短暂的初始可达性 miss 会立即触发完整浏览器重启。修复在短暂可达性 miss 后重用已运行的 loopback 浏览器，而非回退到重启检测。

两个 bug 共享同一模式：系统太急于判断状态转换。短暂的响应延迟被视为失败，触发了昂贵的恢复路径，反而让情况更糟。

11. 插件生态：ClawHub 迁移后的收尾

3.22 将插件生态系统迁移到了 ClawHub，3.23 完成了收尾工作：

Bundled runtime sidecars 重新发货：WhatsApp light-runtime-api.js、Matrix runtime-api.js 等之前在 npm 包中缺失
ClawHub 安装兼容性：插件 API 兼容性现在在安装时针对活动运行时版本解析
卸载接受 ClawHub specs：openclaw plugins uninstall clawhub:<package> 即使 pinned 版本也能正常工作
LanceDB 首次使用时引导：memory-lancedb 插件 bootstraps LanceDB
Stale config 非致命：未知的 plugins.allow ID 被视为警告而非 fatal errors
Doctor 清理：移除插件移除后留下的 stale refs

12. Agent 可靠性：6 项修复

让 agent 行为更可预测的 6 项修复：

web_search provider：agent turns 现在使用活动运行时 web_search provider 而非 stale 或默认选择
Failover 分类：api_error payload 仅在包含瞬态失败信号时才可重试
Subagent 超时准确性：超时 worker waits 在发送完成事件之前重新检查
Anthropic thinking blocks：assistant thinking 和 redacted-thinking block 顺序在 sanitization 期间保留
Replay 恢复：格式错误的 transcript 内容规范化，遗留或损坏的 turns 停止崩溃 replay
Skill config 注入：skills.entries.<skill>.apiKey SecretRefs 在嵌入式启动期间正确解析

13. Gateway 加固

Probe 准确性：成功的 gateway handshake 不再在 post-connect detail RPC 仍在加载时超时
Supervision 稳定性：launchd 和 systemd 下的锁冲突不再 crash-loop
Auth 强制执行：canvas routes 需要认证；Agent session reset 需要 admin scope
OpenRouter 定价：openrouter/auto 定价刷新在 bootstrap 期间不再无限递归

14. 平台渠道修复

Telegram（3 项）：DM topic threading 上下文正确填充；同 chat 入站去重排序保留；asDocument 作为 forceDocument 的别名加入

Discord：特权原生 slash commands 在 auth gates 拒绝发送者时返回显式未授权回复

Plivo voice：replay keys 稳定化，webhook 重试和 replay 保护不再冲突

外部 channel catalogs：现在可以覆盖 shipped fallback metadata 和 honor overridden npm specs

15. 升级注意事项

Qwen 用户：检查 provider 配置，standard DashScope keys 现在可以使用原生端点
Mistral 用户：运行 openclaw doctor --fix 修复旧配置的 context-sized 输出限制
Custom CSS 用户：Knot 主题调色板和按钮类名已更改，检查你的 overrides
Control UI script injectors：内联脚本现在需要 CSP SHA-256 哈希

一句话评价： 3.22 拉开了胸腔、更换了引擎，3.23 确保了每一针都缝合牢固。40+ 修复、8 项 auth 补丁、2 个浏览器回归已解决、插件生态系统在 ClawHub 迁移后终于干净利落地工作。这不是光鲜的工作，但正是这个版本将 3.22 的架构野心变成了你可以在生产环境中实际运行的东西。

往期推荐：

[《OpenClaw：你的下一代个人AI助手平台》](https://mp.weixin.qq.com/s/xN1AmS898ExGK5PIh6sAgQ)

*更多 AI 和 Agent 干货，欢迎关注「Bob说AI」*