release minimax xai security plugins channels

OpenClaw 3.28:换甲——MiniMax 图像生成、异步工具审批、90+ 修复

OpenClaws.io Team

OpenClaws.io Team

@openclaws

2026年3月28日

10 分钟

OpenClaw 3.28:换甲——MiniMax 图像生成、异步工具审批、90+ 修复

3.22 把龙虾开膛破肚,换了发动机。3.23 盯着缝合线,确认没崩。3.24 开始康复——跑得比手术前还快。

3.28:龙虾长出了新壳。

不是蜕皮后那层软趴趴的半透明膜。是真正的甲壳。致密、层叠、经得起实战。配套的新钳子也到位了。

两项 Breaking Changes。二十一项新功能。九十多个修复。老规矩:生产环境的龙虾,升级前三思。

Breaking Changes

两项。都是干净利落的切割。

通义千问 Portal OAuth 下线了。 废弃的 \qwen-portal-auth\ 集成(用于 portal.qwen.ai)已移除。迁移到 Model Studio:\openclaw onboard --auth-choice modelstudio-api-key\。(#52709) 感谢 @pomelo-nwu。

配置自动迁移有保质期了。 \openclaw doctor\ 不再自动重写两个月以前的旧配置键。跑着上古配置的用户,现在会直接触发验证失败,而不是被静默重写。该更新更新吧。

新钳子:模型与提供商

MiniMax 图像生成

MiniMax 作为图像生成提供商加入,带来 \image-01\ 模型。文字生图。图片编辑(image-to-image)。宽高比控制。(#54487) 感谢 @liyuan97。

这是 OpenClaw 的第一个专用图像生成提供商。你的龙虾现在不只能看——还能画。

顺带一提,MiniMax 的模型目录也精简了:只留 M2.7,砍掉了 M2、M2.1、M2.5 和 VL-01。轻装上阵。

xAI 全面切换 Responses API

内置的 xAI 提供商迁移到 Responses API,\x_search\ 成为一等公民。xAI 插件现在根据 web-search 和工具配置自动启用——不用再手动开关了。(#56048) 感谢 @huntharo。

\openclaw onboard\ 和 \openclaw configure --section web\ 现在会在引导流程中提供可选的 x_search 配置,包括一个共享 xAI key 的模型选择器。

CLI 后端扩展

Claude CLI、Codex CLI、Gemini CLI 的推理默认配置全部迁移到插件表面。Gemini CLI 获得内置后端支持。\--cli-backend-logs\ 替代了 \--claude-cli-logs\(旧 flag 保留为别名)。自动加载意味着配置好的内置渠道不再需要手动添加 \plugins.allow\ 条目。

新反射弧:异步工具审批

这是给插件开发者的头号功能。

\before_tool_call\ 钩子现在支持异步 \requireApproval\——插件可以在工具执行到一半时按下暂停键,弹出审批请求。审批界面灵活可选:exec 审批弹层、Telegram 按钮、Discord 交互组件,或者在任何渠道上用 \/approve\ 命令。(#55339) 感谢 @vaclavbelak 和 @joshavant。

\/approve\ 命令现在同时处理 exec 审批和插件审批,自动回退。一条命令,两条审批路径。

说人话:插件可以盯着危险操作——删文件、删库、往生产环境推代码——在执行前拦住,等人点头再放行。你的 AI 助手装上了安全联锁装置。赛博秘书穿好了防弹衣。

新甲壳:安全加固

Web search 密钥审计扩展。 安全审计现在能识别 Gemini、Grok/xAI、Kimi、Moonshot 和 OpenRouter 的凭证,通过边界安全的内置 web-search 注册表垫片实现。(#56540)

ACP agent 注册表加固。 OpenClaw 的 ACPX 内置 agent 镜像与最新的 \openclaw/acpx\ 命令默认值和内置别名对齐,版本化的 npx 内置工具锁定到精确版本,未知 ACP agent ID 不再穿透到 MCP-proxy 路径上的原始 \--agent\ 命令执行。(#28321) 感谢 @m0nkmaster 和 @vincentkoc。

OpenAI apply_patch 默认启用,适用于 OpenAI 和 Codex 模型,沙箱策略与写权限对齐。

渠道升级

ACP 当前对话绑定。 \/acp spawn codex --bind here\ 现在可以把当前的 Discord、BlueBubbles 或 iMessage 聊天直接变成 Codex 工作区,不用另开子线程。

Slack 文件上传。 新增显式 upload-file 动作,通过 Slack 的上传通道路由文件,支持文件名、标题、备注的自定义覆盖。

统一文件发送。 Microsoft Teams、Google Chat、BlueBubbles 获得显式 \upload-file\ 支持,开始统一跨渠道的文件优先发送体验。

Matrix 原生语音气泡。 Matrix 上的自动 TTS 回复现在以原生语音气泡形式发送,不再是通用音频附件。(#37080) 感谢 @Matthew19990919。

基础设施

Podman 简化。 容器配置围绕当前 rootless 用户整合。启动辅助脚本安装到 \~/.local/bin\。工作流变成从宿主机直接 \openclaw --container <name> ...\

\openclaw config schema\ 打印 \openclaw.json\ 的生成 JSON Schema。(#54523) 感谢 @kvokka。

内存插件契约。 压缩前的内存刷写计划移到活跃内存插件契约后面——\memory-core\ 拥有刷写提示和目标路径策略,不再是硬编码的核心逻辑。

插件心跳。 \runHeartbeatOnce\ 暴露在插件运行时系统命名空间中,支持单次心跳循环和投递目标覆盖。(#40299) 感谢 @loveyana。

Tavily 流量归因。 出站 API 请求现在携带 \X-Client-Source: openclaw\,让 Tavily 能识别来自 OpenClaw 的流量。(#55335) 感谢 @lakshyaag-tavily。

修复精选

从 90 多个修复中挑几个:

Agents/Anthropic:未处理的提供商停止原因(如 \sensitive\)现在作为结构化助手错误恢复,不再崩溃 agent 运行。(#56639)

Google/Gemini 3.1:pro、flash、flash-lite 在所有 Google 提供商别名下正确解析。flash-lite 前缀排序修复。(#56567)

WhatsApp 回声循环:自聊天 DM 模式下,bot 不再把自己发出去的回复当成新消息重新处理,死循环终结。(#54570) 感谢 @joelnishanth。

Telegram 消息切分:长消息现在按单词边界切分,不再切在词中间。标签开销超限时优雅降级。(#56595)

Discord 重连:过期的 gateway socket 被排空,强制重连前清除缓存的 resume 状态。恢复流程不再在中毒的 resume 状态上死循环。(#54697) 感谢 @ngutman。

Agents/冷却:速率限制冷却现在按模型隔离——一个模型的 429 不再阻塞同 auth 配置下的所有模型。阶梯式 30s/1min/5min 替代了旧的指数升级。(#49834) 感谢 @kiranvk-2011。

Matrix E2EE 缩略图:加密房间的图片事件现在用 \thumbnail_file\ 加密缩略图,非加密房间继续用 \thumbnail_url\ 明文预览。(#54711) 感谢 @frischeDaten。

GitHub Copilot 认证:过大的 \expires_at\ 值被当作秒级时间戳处理,远未来的刷新定时器被钳位,防止 setTimeout 溢出热循环。(#55360) 感谢 @michael-abdo。

Mistral:OpenAI 兼容请求标志规范化,官方 Mistral API 不再报 \422 status code (no body)\ 错误。

iMessage:内联的 \[[reply_to:...]]\ 标签不再泄漏到投递文本中——\reply_to\ 作为 RPC 元数据发送。(#39512) 感谢 @mvanhorn。

贡献者

这个版本包含 50 多位贡献者的工作。

@huntharo 交付了 xAI Responses API 迁移、Telegram 配对修复和插件入站 claims——承包了本版本最大的功能迁移之一。

@ngutman 落地了 Discord 重连恢复、两轮沙箱改进和 Carbon beta 更新——系统性的纵深防御。

@neeravmakwana 修复了 OpenAI Codex 图像工具、agents/status 上下文窗口、gateway 插件复用和 CLI 插件自动加载——四个修复跨四个子系统。

@joelnishanth 搞定了 WhatsApp 回声循环、两个 Discord gateway 关闭边界情况和 Matrix E2EE 加密加载——安静、扎实的渠道加固。

@xaeon2026 修复了 OpenAI 兼容 tool call 去重、WebSocket 推理回放、agents/status 和 Codex 回退——深层 agent 基础设施工作。

@shakkernerd 发布了三项 TUI 改进:引导流程 gateway 消息、聊天日志系统消息裁剪、activation 参数校验。

感谢 @pomelo-nwu、@liyuan97、@vaclavbelak、@joshavant、@kvokka、@velvet-shark、@lakshyaag-tavily、@Matthew19990919、@loveyana、@gumadeiras、@schumilin、@scoootscooob、@BruceMacD、@gumclaw、@vincentkoc、@m0nkmaster、@mvanhorn、@kiranvk-2011、@michael-abdo、@frischeDaten、@bugkill3r、@erhhung、@sahancava、@danhdoan、@dongzhenye、@gregretkowski、@afurm、@jared596、@wbxl2000、@xieyongliang、@adzendo、@frankbuild、@alberthild、@nikus-pan、@felear2022、@markojak、@infichen、@bottenbenny、@mcaxtr、@MiloStack、@SnowSky1、@lurebat、@private-peter、@sallyom、@MonkeyLeeT、@oliviareid-svg、@chen-zhang-cs-code、@Nanako0129、@mbelinky、@nickludlam、@kakahu2015、@mathiasnagler、@NickHood1984、@esrehmki、@aquaright1、@xujingchen1996、@lml2468、@sparkyrider、@KevInTheCloud5617、@cosmicnet、@hongsw、@Takhoffman、@ysfbsf、@glitch418x、@Kimbo7870、@w-sss,以及所有提交过 Issue、测试过预发布版本、在 Discord 里帮过忙的人。

---

3.22 把龙虾拆开。3.23 把它缝活。3.24 让它跑起来。

3.28:新壳长成。新钳子用来造图。新反射弧用来拦截危险。新甲壳,由九十多个修复和五十多位贡献者的工作锻造而成。

龙虾披甲完毕。出击。

订阅更新

第一时间获取新功能和玩法。放心,不会发垃圾邮件。