OpenClaw 2.0 发布:16000 个 PR、四个默认开关,和一个「不是安全边界」的坦白

OpenClaw 静默了七周，然后丢出项目史上最大的一次更新：933 名贡献者、16000 多个 PR，一个版本就占了它历史合并量的一半。但真正值得说的不是规模，而是三件小事——它把安装这件事彻底重做了、它悄悄翻开了四个自主性开关、以及它在文档里主动写下了一句"这不是安全边界"。

01一个没打算做成 2.0 的 2.0

官方博客的标题叫《OpenClaw 2.0, Accidentally》——"意外地做成了 2.0"。

按社区经理 Hannes Rudolph 的说法，团队最初只打算做两件事：把安装做简单一点，把浏览器端做成一等公民。但要把这两件事做对，就得顺着依赖一路往下清理。清着清着，就清成了一个大版本。

这句话值得当真，因为它解释了这个版本的全部气质：没有宏大叙事，全是脏活。

贡献者933

其中 569 人是第一次给这个项目交代码

合并 PR 16,000+

约占项目历史全部 PR 的一半

静默期约 7 周

此前 230 天发了 106 个版本，平均两天一更

仓库规模388k，388,124 stars，81,487 forks

需要澄清一点：OpenClaw 采用日历版本号，实际的 tag 是 v2026.8.1。"2.0"这个称呼标示的是变更范围，不是新的版本体系。中间那个 v2026.7.2，被直接跳过了。

还有个背景值得放在心里：项目作者 Peter Steinberger 已经在今年 2 月加入 OpenAI，现在由 7 月刚完成 501(c)(3) 转换的 OpenClaw 基金会独立运营。这个版本，是基金会交出的第一份大答卷。

02安装：从"配置审问"到"先聊起来"

这是 2.0 改动最大、也最能被感知的一块。

以前第一次装 OpenClaw，体验接近一场配置审问：你得先准备 API key，理解 Gateway 是什么，填 provider，选模型，配渠道——全部填完，才能说上第一句话。很多人就是死在这一步。

2.0 的逻辑反过来了：从你机器上已经有的东西出发。

引导式安装做了什么

• 复用已有登录态
  ——自动扫描已验证的 Codex、ChatGPT、Claude CLI 登录信息，你付过的订阅直接接着用
• 发现本地模型
  ——自动找到 Ollama、LM Studio 里已经装好的模型
• 证明能跑再保存
  ——先发一条测试消息，确认这个具体模型真的能回答，才把配置和凭据存下来
• 把配置挪到后面
  ——渠道接线、技能安装、自动化策略，全部推迟到第一次成功对话之后，在 Settings 里慢慢配，甚至边聊边配

本地推理这条路上也有实质调整：node-llama-cpp 被换成了托管的 llama-server，llama.cpp 的默认上下文长度提到 64K，默认模型改成按内存门槛选择的 Gemma 4。全新的 OpenAI 配置则默认走 GPT-5.6（Sol）。

官方给的预期是：装完到第一次对话，五分钟。

为什么这件事比看起来重要

OpenClaw 一直是"能力很强但门槛很高"的典型。它不缺功能，缺的是让非工程用户走完前十五分钟。这个版本正面解决的就是那十五分钟。

03Control UI：把仪表盘拆了，换成对话

有意思的是，就在七周前的 v2026.7.1，OpenClaw 刚把 Control UI 重写成一套很像样的运维看板——可拆分面板、Tasks 页、用量页。2.0 又重写了一遍。

这次的方向是：取消 Overview 首页，打开就是对话。会话列表收进侧边栏，正在进行的那个对话占据中心，文件、审批、终端、Git 变更排在旁边。

1.6s → 575ms

官方模拟环境（mocked Gateway + 50ms HTTP/1.1 延迟）下的启动时间；同时 JS 请求数从 140 降到 45

新增的几个东西

• 可停靠面板
  ——工作区文件编辑器、Git 变更面板（带 PR 状态与 CI 摘要）、浏览器面板（元素检查 + 截图批注）、全屏 Web 终端
• /btw 命令
  ——开一段独立的旁支对话，问个不想污染主线记录的问题
• 历史全文检索
  ——按精确词/短语搜索过去的对话，并能重开上下文
• 审批内嵌
  ——审批请求直接出现在触发它的那条对话里，保留 30 天滚动历史
• 交互式 widget
  ——结果可钉到会话仪表盘、可授予精确动作或网络来源、可导出成图片
• 进度卡片跨重载保持
  ——刷新页面不会丢掉正在跑的工作

官方坦白的三条限制

文件编辑器不能新建或删除文件；Changes 面板是只读的；Create PR 是跳转到 GitHub，不是在 OpenClaw 内部完成提交。换句话说，这一版在编码工作流上给你的主要是"看"和"审"，不是"直接干"。

· · ·

04SQLite：这次搬家，退路很贵

会话和 transcript 从文件型存储迁进了 SQLite。

好处是实打实的：全文检索、并发安全、崩溃恢复都更稳，配套还新增了 openclaw backup sqlite（创建/列出/验证/恢复压缩快照）、配置变更历史（带写入者标签与敏感值脱敏）、以及可恢复到操作员自己 Git 仓库的版本化快照。

但代价必须说清楚——降级不再免费：

• 回滚到旧的文件型版本之前，必须先用当前 CLI 恢复归档的旧格式 transcript 产物
• 迁移之后新建的会话，在旧版本里根本不会出现

所以官方的建议很直白：升级前，先做一次经过验证的备份。

· · ·

05四个开关被翻开：你的 agent 开始自己"做梦"

这是整个 2.0 里最容易被忽略、但影响最深远的部分。

发布说明悄悄把四个自主性默认值从关变成了开：

如果你从没打开过 OpenClaw 的记忆设置，那么这个周末，它的行为已经变了——而你并没有要求它变。

这句话是这次更新里最该被转述的一句。在一个 casual install 数量巨大的项目里，默认即命运。

好在每一项都带显式的关闭开关，而且这一版给记忆系统加了真正的控制权：你可以查看某条记忆是由哪些会话贡献的、排除特定来源、用 openclaw memory forget删掉派生的记忆但保留原始 transcript 完好。

· · ·

06共享云会话：从"交接即失忆"到"带上下文交棒"

2.0 之前，OpenClaw 有个很尴尬的缺口：你没法把另一个人拉进正在进行的工作。一旦交接，那只龙虾已经知道的东西就全丢了。

共享云会话补上了这个洞。官方团队现在就是靠它来构建 OpenClaw 本身的。

具体能做什么

• 带上下文接手
  ——第二个人可以加入正在进行的工作，或者直接接手，上下文完整保留
• 四档权限
  ——owner/admin 可以设定：只读 / 可提建议 / 可在草稿里工作 / 直接参与
• 团队操作员角色
  ——命名角色，限定可访问的 agent、他人的会话、操作员范围
• 共享凭据库
  ——团队作用域的密钥存进 SQLite，值只写，出口绑定声明的主机
• 跑在别处
  ——会话可以跑在配对设备或云 worker 上，工作区跟着会话一起迁移；热机器与项目种子可复用

另外还加了个 Incognito 模式，默认关闭；开启后对话只留在 Gateway 进程内存里，不落盘。但要注意——消息照样会发给模型 provider。

文档里的那句坦白，建议全文背诵

"这些控制是协作控制，不是敌意租户隔离。"——不是租户隔离，也不是安全边界。翻译过来就是：能碰到你 Gateway 的人，就当能碰到你的 shell。它适用于单操作员或单一可信团队，不适合拿去做多租户产品。

· · ·

07安全：给 agent 更多权力，给密钥更紧的门

2.0 的安全姿态可以概括成一句有点矛盾的话：给 agent 更大的自主权，同时给密钥、插件、遥测装上更紧的闸门。

一组值得记住的攻防数字

OpenClaw 在文档里引用了 2026 年一个众包攻击竞技场的数据：27.2 万次攻击、41 个 agent 场景，评分标准很严——只有"既执行了有害动作、又向用户隐瞒"才算攻破。

0.5%  ·  1.0%  ·  1.3%  ·  8.5%

Claude Opus 4.5 / Sonnet 4.5 / Haiku 4.5 / Gemini 2.5 Pro 的被攻破率

但同一页紧接着就警告：面对有适应能力的人类攻击者，现有最好的防御被突破概率仍然超过 80%。

所以官方的定位很清楚——模型选择只是第一道缓解，工具策略、exec 审批和沙箱才是硬执行层。

· · ·

08破坏性变更清单：升级前请逐条确认

推荐的升级流程

cp openclaw.json openclaw.json.bak     # 1. 备份配置 openclaw doctor                        # 2. 升级前体检 openclaw update                        # 3. 升级 openclaw doctor --fix                  # 4. 跑迁移修复 openclaw security audit                # 5. 复查暴露面

两个已知的实操坑

autoupdate 卡住——这是 v2026.7.1 就有的模式，自动更新器有时处理不了 Node 运行时升级。重跑 web 安装器（curl -fsSL https://openclaw.ai/install.sh | bash）能解决。生产环境——cron 重的 Gateway，官方和第三方都建议先在 staging 验证 SQLite 迁移，不要直接上。

· · ·

09降温之后的这份答卷，该怎么读

得承认，社区的反应并不热烈。

在 Hacker News 的讨论串里，反复出现的问题不是"怎么做"，而是"为什么要用"：

• 有人问，你到底会委托它做什么？——不少技术用户自己写脚本就能搞定
• 有人贴出 Google Trends，指出3 月之后搜索热度断崖式下跌
• 有人说已经转向其他助手或自建方案，Claude Code、Codex-based setup、Hermes 在讨论里被反复提及

另一份 8 月初、1853 人参与的调查显示：43% 觉得它"还行，但没改变生活"，31% 说当初为跑它买的 Mac mini 已经白买了，认为真正改变一切的只剩 7%。

但反方里有一句话，我认为是这次更新最好的注脚

"OpenClaw 的颠覆性不在于它做了以前做不到的事，而在于它让更多人能做原本只有少数人能做的事。别高估脚本的门槛——对绝大多数人来说，那个门槛是真的。"

这恰恰就是 2.0 的全部逻辑。

它没有解决"我信不信一个能碰我邮箱、消息和文件的自治 agent"这个问题。它解决的是"我想试试，但装不起来"。

年初狂热期没人肯写的那句"这不是安全边界"，这次有人主动写进文档了。这本身就是降温的价值。

· · ·

10那么，该不该升？

最后一句判断：如果你之前被安装劝退——2.0 值得重新试一次，它正面解决了那个问题。如果你已经在稳定跑——2.0 给你的增量主要是界面和协作，那么请先备份、先 staging、先去检查那四个默认开关。如果你犹豫的是"信不信它"——这个版本什么都没改变，别指望一次发布会回答信任问题。

主要信息来源

OpenClaw 官方博客《OpenClaw 2.0, Accidentally》· 官方发布说明 v2026.8.1 · GitHub Release v2026.8.1 · explainx.ai · AI Bacon · MarkTechPost · App Review Lab · Hacker News