Vier OpenClaw-Releases in fünf Tagen: Was hinter dem Security-Sprint steckt

OpenClaw hat zwischen dem 11. und 14. April 2026 vier Releases veröffentlicht. Der quelloffene KI-Agent bekam in dieser Zeit eine neue Codex-Integration, ein optionales Gedächtnis-Plugin und mehrere Sicherheitsfixes.

Auf dem offiziellen GitHub-Repository von OpenClaw stehen vier Versionen mit Datumsstempeln aus einer einzigen Arbeitswoche. Version 2026.4.10 erschien am 11. April, 2026.4.11 am 12. April, 2026.4.12 am 13. April und 2026.4.14 am 14. April. Unser Bericht zum Release 2026.4.5 ordnet die Trennung von der Claude-CLI ein.

Anzeige

Was ist der Security-Sprint?

Über alle vier Releases verteilt steckt ein umfangreicher Block an Sicherheitsfixes. Release 2026.4.10 enthält laut Release-Notes gebündelte Browser- und Sandbox-Härtungen. Betroffen sind strenge SSRF-Defaults, Hostname-Allowlisten und aktive Browser-Sessions. Die grundsätzliche Sicherheitsfrage rund um OpenClaw haben wir in einer eigenen Analyse ausführlich eingeordnet.

SSRF steht für Server-Side Request Forgery, eine Angriffsklasse, bei der manipulierte Anfragen interne Dienste erreichen. OpenClaw steuert für Agenten-Aufgaben einen eingebauten Browser. Ohne saubere Policy könnte dieser Browser auf interne Netzwerke zugreifen. Die Notes listen gleich mehrere Einzelfixes auf: Prüfungen im strengen Modus, Interaktions-Weiterleitungen, Subframes und Tab-Actions.

Release 2026.4.14 bringt den nächsten Block. Die Notes listen einen Fix für die Slack-Interaktionen. Button-Actions und Modal-Events in Kanälen konnten die Allowlist umgehen. Der Patch erzwingt jetzt eine Prüfung der Sender-ID und lehnt mehrdeutige Kanaltypen ab. Das Default-Verhalten bleibt allerdings offen, sofern keine Allowlists konfiguriert sind.

Ein weiterer Eintrag betrifft das Gateway-Tool: config.patch und config.apply können jetzt bestimmte Sicherheits-Flags nicht mehr neu aktivieren. Dazu zählen laut Notes dangerouslyDisableDeviceAuth und allowInsecureAuth. Das verhindert, dass ein Modell über seine Werkzeug-Schnittstelle die eigenen Schutzmaßnahmen abschaltet. Bereits aktivierte Flags laufen unverändert weiter, damit legitime Admin-Patches nicht blockiert werden.

Auch Anhänge bekommen einen Fix. Ungültige lokale Pfade werden jetzt korrekt abgefangen. Zuvor konnte ein Fehler im Pfad-Check die Allowlist umgehen. Anhänge mit zusätzlicher URL laufen über die Netzwerkprüfung.

Zudem ist die Heartbeat-Logik angepasst worden. Der Heartbeat ist ein periodisches System-Signal, das OpenClaw an sich selbst schickt. Laut den 2026.4.14-Notes gelten Heartbeat-Events jetzt als nicht vertrauenswürdig. Sie erzwingen einen Owner-Downgrade und senken damit die Rechte für ausgelöste Turns.