OpenClaw v2026.4.23 atualização：gpt-image-2 pode ser usado sem API Key, proxy secundário adiciona o modo 「forked context」

De acordo com o monitoramento Beating, o framework de agente de IA de código aberto OpenClaw lançou a versão v2026.4.23, com mudanças centrais focadas em geração de imagens, mecanismo de subagentes e reforço de segurança.

No que diz respeito à geração de imagens, o gpt-image-2 da OpenAI agora pode ser chamado diretamente via Codex OAuth, sem necessidade de configurar separadamente a OPENAI_API_KEY. O modelo de imagem do OpenRouter também foi integrado, podendo ser utilizado através da ferramenta image_generate. A edição de imagens com referência múltipla, anteriormente baseada em URL de dados JSON, foi alterada para upload multipart, corrigindo problemas anteriores de falha na edição complexa. O agente também pode especificar parâmetros como qualidade de imagem, formato de saída, fundo transparente, entre outros, conforme necessário.

O mecanismo de subagentes adicionou o modo 「forked context」: ao derivar um subagente, o agente pai pode optar por fazer com que o subagente herde o contexto de diálogo atual, ao invés de iniciar uma conversa em branco a cada vez. O modo padrão ainda é de isolamento, podendo ser ativado conforme necessidade. Além disso, ferramentas de geração de imagem, vídeo, música e TTS agora suportam configurações de timeout por chamada única, sem serem limitadas pelo timeout global.

A reforço de segurança é a maior parte desta versão. As correções incluem: o bridge de ferramentas MCP não expõe mais ferramentas privilegiadas como cron a usuários que não sejam o proprietário; no Android, intents externos não podem mais enviar prompts injetados automaticamente, apenas podem preencher rascunhos previamente; a edição de configurações em tempo de execução do gateway mudou de lista negra para lista branca, permitindo apenas modificar campos restritos como prompt e modelo; nomes de contatos e informações de localização no WhatsApp não são mais inseridos diretamente na mensagem, mas renderizados em JSON isolado, prevenindo injeção de prompts; no Teams, o token do Bot Framework deve conter o appid correto, bloqueando a reprodução de tokens entre bots diferentes.

No que diz respeito ao sistema de memória, o dreaming (tarefa de organização automática periódica da memória) foi separado do heartbeat; anteriormente, ao desativar o heartbeat, o dreaming também era desativado, mas agora ambos funcionam independentemente. A janela de contexto de embedding local foi ampliada com a configuração memorySearch.local.contextSize, padrão de 4096, facilitando ajustes em dispositivos de baixa configuração.