OpenClaw v2026.4.23 actualización: gpt-image-2 se puede usar directamente sin clave API, el subproxy añade el modo «forked context»

Según la monitorización de Beating, el marco de agente AI de código abierto OpenClaw lanzó la versión v2026.4.23, con cambios principales centrados en generación de imágenes, mecanismo de subagentes y reforzamiento de seguridad.

En cuanto a la generación de imágenes, el GPT-image-2 de OpenAI ahora puede ser llamado directamente a través de Codex OAuth, sin necesidad de configurar por separado OPENAI_API_KEY. El modelo de imágenes de OpenRouter también se ha integrado, y se puede usar mediante la herramienta image_generate. La edición de imágenes con referencia múltiple ahora cambia de URL de datos JSON a carga multipart, solucionando problemas previos de fallos en ediciones complejas. El agente también puede especificar según sea necesario parámetros como calidad de imagen, formato de salida, fondo transparente, etc.

Se añade un modo de «contexto bifurcado» (forked context) en los subagentes: al derivar un subagente, el agente padre puede optar por que el subagente herede el contexto de la conversación actual, en lugar de comenzar cada vez desde una sesión en blanco. El modo predeterminado sigue siendo de aislamiento, pero puede activarse según necesidad. Además, las herramientas de generación de imágenes, videos, música y TTS soportan configuraciones de tiempo de espera a nivel de llamada única, sin estar limitadas por el tiempo de espera global.

El reforzamiento de seguridad es la mayor parte de esta versión. Las correcciones incluyen: el puente de herramientas MCP ya no expone herramientas privilegiadas como cron a usuarios no propietarios; en Android, se prohíbe que las intenciones externas envíen automáticamente prompts inyectados, solo se permite rellenar borradores previamente; la edición de configuración en el runtime del gateway cambia de lista negra a lista blanca, permitiendo modificar solo campos restringidos como prompt y modelo; los nombres de contacto y la información de ubicación en WhatsApp ya no se insertan directamente en el cuerpo del mensaje, sino que se renderizan en JSON aislado para prevenir inyección de prompts; en Teams, se requiere que el token del Bot Framework lleve el appid correcto, bloqueando la reproducción cruzada de tokens entre bots.

En cuanto al sistema de memoria, dreaming (tarea de organizar recuerdos automáticamente de forma periódica) se ha separado del heartbeat; anteriormente, desactivar heartbeat también desactivaba dreaming, pero ahora ambos funcionan independientemente. La ventana de contexto con embedding local añade la configuración memorySearch.local.contextSize, con un valor predeterminado de 4096, facilitando ajustes en dispositivos de baja capacidad.