OpenClaw v2026.4.14：支持 GPT-5.4-Pro、Telegram 话题感知与 50+ 安全修复
发布时间：2026年4月14日 · 阅读约 6 分钟
OpenClaw v2026.4.14 今日发布，带来 GPT-5.4-Pro 前向兼容支持、Telegram 论坛话题名称感知、关键 UI Markdown 安全修复（marked.js → markdown-it），以及覆盖 WhatsApp、Telegram、Teams、飞书、Discord、语音消息、会话记忆和 Ollama 流式传输的 50+ 问题修复。以下是对出口 B2B 销售团队最重要的内容解析。
新功能
GPT-5.4-Pro：抢先一步的前向兼容
OpenClaw 在 OpenAI 官方目录更新之前，已为 gpt-5.4-pro 内置了定价、Token 上限和可见性元数据（PR #66453）。这意味着将 provider 配置切换到新模型时，路由、成本核算和上下文限制守卫已全部就位，不会出现兼容性中断。
SDR 团队的意义： 使用 OpenAI 进行多轮资质评估序列的团队可以立即切换到 gpt-5.4-pro，无需等待 OpenClaw 的后续更新。该模型增强的推理能力将直接转化为更好的异议处理和更连贯的跨长销售线索对话跟进。
在复杂销售资质评估提示上，gpt-5.4-pro 相较 gpt-4o 的多步骤指令遵循提升约 40%（内部基准测试，2026年）。
Telegram 论坛话题：对话上下文感知
现在，运行 Telegram 群组外呼的 B2B 团队迎来重要升级：OpenClaw 从 Telegram 论坛服务消息中学习话题名称，并将其作为可读上下文注入 Agent 回复和插件钩子元数据中（PR #65973）。
此前，Agent 只能看到数字话题 ID，对任何需要按对话上下文路由或过滤的提示词来说几乎无用。现在，它可以看到实际的话题名称（例如："Q2 潜在客户 – 德国"、"入站线索"、"VIP 客户"），并据此进行路由逻辑、人设选择和 CRM 标签分配。
外贸 SDR 相关性： Telegram 在东南亚、东欧和中东的出口市场中仍是主流异步销售渠道。论坛结构的群组——每个话题对应一个交易阶段或地区——是许多出口销售团队的标准运营模式。有了话题名称感知，Agent 现在可以在无需手动路由规则的情况下应用与阶段匹配的话术。
升级后可在技能模板中引用 {{telegram.topic_name}} 实现智能路由。
安全：需要立即升级的修复
UI Markdown：marked.js → markdown-it（XSS 修复）
本次发布中最重要的安全修复：控制 UI 的 Markdown 渲染器已从 marked.js 切换为 markdown-it，消除了一类可由 Agent 生成内容或用户提供内容触发的 XSS 漏洞。
建议： 若你在本地网络或 SSO 后端部署了 OpenClaw Web UI，应立即升级至 v2026.4.14。对于大多数自托管配置来说攻击面较低，但任何 UI 可被不受信用户访问的部署都应视此为必须修复项。
浏览器 SSRF 执行 + 附件路径规范化
两项额外安全修复随本次发布一同上线：
- 浏览器 SSRF 策略：导航和截图/快照请求现在强制执行出站 SSRF 策略，防止沙盒浏览器工具探测内部网络地址。
- 附件路径规范化：附件路径在处理前现在已规范化，修复了文件处理工作流中的路径穿越向量。
两项修复适用于自托管部署。PulseAgent 云托管实例已提前修复。
渠道与集成修复
WhatsApp：媒体加密处理
WhatsApp 媒体解密现在处理了加密密钥派生中的边缘情况，修复了导致部分入站媒体（语音消息、图片、文档）被静默丢弃的问题。
SDR 序列影响： 语音消息在巴西、印度和东南亚等 WhatsApp 主导的市场中极为常见，现在可以可靠地转录并路由至 Agent。经销商发送的产品目录 PDF 也不会再消失。
Microsoft Teams：SSO 许可名单检查
Teams SSO 流程现在正确执行许可名单，防止来自未列入许可名单的 OAuth 身份的消息被处理。这一修复对将 Agent 限制于特定内部账户或外部合作伙伴身份的企业 Teams 部署非常重要。
飞书：许可名单规范化
飞书发件人许可名单现在一致地规范化，修复了同一用户不同格式 ID 可能绕过或重复触发许可名单检查的边缘情况。对运营飞书外呼进入中国企业客户的团队相关性较高。
Discord：状态命令响应
Discord 中的 !status 命令现在在所有网关配置中可以正确响应。对从 Discord 监控多渠道部署的运营团队有用。
TTS 语音消息回复持久化
TTS 模块生成的语音消息回复现在在发送后正确持久化，关闭了干扰长序列后续跟进逻辑的对话历史缺口。
基础设施与记忆
主动记忆：提示词位置 + 日志
主动记忆插件的提示注入点已更正——记忆上下文现在注入到提示模板的正确位置，提高了召回准确性。记忆检索的日志记录也已改善，便于可观测性。
会话记忆：工作区作用域 + Slug 生成
会话记忆现在正确作用域到工作区，防止多租户部署中的跨工作区记忆泄漏。记忆 Slug 生成超时也已修复，消除了长对话主题 Slug 未创建的失败模式。
Cron 调度器：错误退避 + 恢复
Cron 调度器现在在错误时应用指数退避并从瞬时故障中干净恢复。此前，单个调度错误可能会阻塞整个定时任务队列，影响由 Cron 触发器计时的跟进序列。
Ollama：流式传输 + 使用量报告
Ollama 超时配置现在在流式请求中正确继承，流式模式下的使用 Token 数量也得到准确报告。运行本地 Ollama 部署以满足成本敏感或数据驻留需求的团队将在仪表板中看到更准确的计费代理数据。
升级方式
# 自托管 — 更新 OpenClaw
npm install -g openclaw@v2026.4.14
# 或使用 B2B SDR Agent Template 一键安装（始终拉取最新版本）
curl -fsSL https://raw.githubusercontent.com/iPythoning/b2b-sdr-agent-template/main/install.sh | bash
PulseAgent 云托管用户已在 v2026.4.14 上——无需任何操作。
版本对比：v2026.4.12 vs v2026.4.14
| 功能 | v2026.4.12 | v2026.4.14 |
|---|---|---|
| GPT-5.4-Pro | ❌ 不支持 | ✅ 前向兼容 |
| Telegram 话题名称 | ❌ 仅数字 ID | ✅ 可读名称 |
| UI Markdown 渲染器 | marked.js（XSS 风险） | markdown-it（安全） |
| 浏览器 SSRF 执行 | 部分 | ✅ 完整 |
| WhatsApp 媒体解密 | ❌ 边缘情况丢弃 | ✅ 已修复 |
| 主动记忆位置 | ❌ 提示词位置错误 | ✅ 已更正 |
| Cron 错误恢复 | ❌ 队列阻塞 | ✅ 退避 + 恢复 |
| Ollama 流式使用量 | ❌ 不准确 | ✅ 准确 |
常见问题
Q：v2026.4.14 是安全关键更新吗？ A：对于任何将 Web UI 暴露给不受信用户的部署来说是的（marked.js → markdown-it XSS 修复）。对于仅 CLI 或仅 API 的部署，建议升级但不是紧急修复。
Q：升级后 gpt-5.4-pro 可以立即使用吗？
A：可以——在配置中设置 models.providers.openai.model: gpt-5.4-pro。速率限制和定价已在 v2026.4.14 中编目完毕。
Q：话题名称感知会影响我现有的 Telegram 工作流吗？
A：只是增量添加——现有流程继续正常工作。升级后可在技能模板中引用 {{telegram.topic_name}} 实现路由逻辑或人设选择。
Q：这次发布会影响 PulseAgent 云端用户吗？ A：云端用户已在最新版本上。无需任何操作。
立即开始
几分钟内部署生产就绪的 B2B SDR Agent：
curl -fsSL https://raw.githubusercontent.com/iPythoning/b2b-sdr-agent-template/main/install.sh | bash
或注册 PulseAgent — 托管 OpenClaw，一键部署，集成 CRM，实时分析。
→ 查看定价 · WhatsApp 销售自动化 · AI SDR 出口外贸 · Telegram 线索生成 · 多渠道销售管道 · 制造业 AI 销售
本次发布由 44 位贡献者共同完成。完整更新日志请见 github.com/openclaw/openclaw。
