2026 年 8 月 30 日，开源 AI 代理网关项目 OpenClaw 发布了 2.0 版本（v2026.8.1）。OpenClaw 是一个自托管的 AI 网关，你可以把它装在自己的电脑或服务器上，然后将 ChatGPT、Claude、API 模型、本地开源模型全部接入同一个系统。它像一个 AI 模型的路由器——你跟它对话，它根据任务选择最合适的模型去执行。它不止是聊天界面，还能访问你的邮件、日历、文件、浏览器、消息通道和终端工具，代表你执行操作。2.0 版本被项目方称为"有史以来最大的一次更新"。以下从核心功能、部署工作流、安全模型三个维度展开。
12 项核心功能
-
简化引导式初始化：自动检测电脑上已有的 AI 访问权限——ChatGPT 订阅、Claude 的 API Key、本地 Ollama 等——用一次真实推理请求验证连通性，确认正常后直接开始对话。无需手动配置模型接入即可完成第一次对话，大幅降低了上手门槛。
-
重建的浏览器控制面板：从命令行工具升级为完整的 Web 界面。你可以在浏览器中管理对话、查看代理运行状态、调整配置、观察正在执行的任务，不需要记忆命令行参数。
-
多用户会话：每个会话记录创建者、所有者、参与者和实时在线状态。支持查看、建议和写入三种协作模式，团队成员可以清晰知道谁在做什么。
-
会话交接：授权团队成员或认证终端可以接手正在进行的会话，上下文完整保留，不需要复制粘贴历史记录重新开始。这在团队协作中极为实用——有人离开时，另一个人可以无缝继续。
-
多通道消息：支持 WhatsApp、Telegram、Signal、Slack、Discord、Google Chat、Microsoft Teams、iMessage、Matrix 等十几种消息通道。你可以通过日常使用的消息应用指挥代理，不需要打开新网页。
-
持久化记忆与技能：自定义工作区上下文、记忆、提示词和可复用的技能指令，全部保存在本地主机上，不随对话结束而丢失。这意味着代理可以长期记住你的偏好和工作方式。
-
模型供应商灵活切换：支持 ChatGPT/Codex 订阅路线、Claude CLI 订阅复用、API 按量付费、以及 Ollama、LM Studio、llama.cpp、vLLM、SGLang 等本地推理引擎。可根据任务灵活切换——日常对话用 ChatGPT 订阅、敏感数据用本地模型、复杂编程用 Claude API。
-
云会话与远程执行：可将编程任务分发到远程构建机器或一次性云工作节点，网关保留完整对话记录、凭证和已合并的工作树，执行节点接触不到任何敏感凭证。
-
电脑与浏览器工具：代理可以查看和操作连接的桌面或浏览器，在配置的策略和沙箱范围内执行任务。这意味着它可以替你操作软件、填写表单、整理文件。
-
代理编排：创建后台子代理，在会话之间发送工作，追踪持久化目标。这已经超出了聊天机器人范畴，进入了 AI 工作流引擎的领域——你可以让一个主代理协调多个子代理完成复杂任务。
-
安全审计工具：内置
openclaw security audit --deep命令，自动检查信任域漂移、公网暴露、权限过度、插件风险等问题，并提供窄范围修复选项。每次变更配置后都应该运行。 -
原生桌面客户端：提供签名的 macOS 和 Windows 应用，安装体验更流畅。移动节点和通道客户端进一步扩展了摄像头、屏幕和语音工作流。
14 步安全部署工作流
OpenClaw 官方提供了详细的部署指南，核心原则是"从最小权限开始，逐步扩展"。以下是完整流程：
-
定义信任边界：一个网关只服务于一个互相信任的群体。为不信任的用户或组织使用独立的网关和操作系统账户。
-
选择专用主机：使用独立的机器、虚拟机、VPS 或操作系统账户，启用全盘加密，不要与个人密码管理器共用。
-
检查安装包：优先使用签名的桌面发行版，或审查下载的脚本后再执行。记录安装的版本和通道。
-
选择数据路径：确定每个工作流适合使用托管模型还是本地推理，确认供应商的数据留存和训练条款。
-
从一条狭窄工作流开始：连接最少通道和只读数据源，证明价值后再逐步开放。这是最关键的一步。
-
配对和允许列表发送者：私聊默认使用配对或显式允许列表，群聊要求 @提及 除非所有成员完全可信。
-
隔离多用户消息：设置通道级或账户级隔离，确保不同发送者不共享同一个人主会话上下文。
-
沙箱化每个共享会话：为访客和外部消息面启用按用户沙箱、工作区范围文件、禁止主机执行。
-
最小化工具和密钥：使用专用服务账户、窄范围 OAuth 权限、收件人允许列表。除非工作流真的需要，否则不提供生产凭证。
-
将内容视为潜在恶意：邮件、网页、文档、聊天消息都可能包含提示注入。绝不让这些内容重定义安全策略。
-
要求重要操作确认：发送、删除、购买、发布、部署、修改权限、预订旅行、做出承诺等操作，必须保留人类确认环节。
-
运行安全审计：安装后及每次变更（通道、插件、反向代理、角色、工具、远程访问）后，运行常规审计和深度审计。
-
通过私有网络暴露：使用 Tailscale 等 VPN 配合认证和经过测试的代理配置，而非直接将网关绑定到公网。
-
监控成本与恢复：设置供应商和云预算上限，备份加密状态，测试凭据吊销流程，练习在不暴露密钥的情况下恢复会话。
OpenClaw 的安全设计围绕一个核心理念展开：能力越大，责任越大。由于它可以访问邮件、日历、文件、浏览器、消息通道和 Shell 工具，一次成功的提示注入或被攻陷的发送者可能导致严重后果。项目方的安全文档比大多数商业产品还详细，关键原则包括：每个网关只服务于一个信任域；默认只绑定本地回环地址；每个外部发送者的会话应隔离；使用最小权限工具和专用账户；每次配置变更需审计；重要操作需人类确认。
OpenClaw 2.0 本身是 MIT 协议完全免费的，使用成本取决于模型接入方式——ChatGPT/Claude 订阅费用即已有订阅费，API 按量付费按实际用量结算，本地模型费用为硬件和电费。还需要考虑持续运行的主机/VPS、可选的云工作节点、存储、外部 API 等费用。这种"软件免费、模型按需付费"的模式，可能成为 AI 工具的主流商业模式。
它最适合以下人群：需要在消息、邮件、日历、文件、浏览器任务和定时工作流中使用一个自托管助手的技术用户；共享一个安全边界、需要观察、引导、分配和交接实时代理会话的信任团队；希望在订阅、API 供应商和本地模型之间切换而不更换整个助手层的用户；以及需要长期运行定时和消息工作流的家庭或办公室服务器用户。
需要注意的是，自托管意味着你需要自己负责安全补丁、数据备份、可用性监控和事故响应。一个配置错误的共享网关可能让团队内部所有数据和工具权限暴露。项目发布节奏快，升级可能引入破坏性变更。社区插件和技能带来供应链和任意代码执行风险。OpenClaw 官方建议，在投入生产使用之前，先从一个低风险的工作流开始——比如只连接一个只读的消息通道，证明价值后再逐步开放。每一步都建议运行安全审计命令确认配置没有偏离基线。
OpenClaw 2.0 的发布，让人想起个人电脑早期的场景：最激进的使用者不满足于买预装好的机器，而是自己组装、自己装系统、自己配置网络。今天这些"自己组装 AI 系统"的人正在做类似的事——他们不再等待某一家公司提供完美的 AI 助手，而是把所有可用的模型和工具接在一起。OpenClaw 2.0 让这个门槛降低了一大步，但它仍然是为愿意动手的人准备的。如果你想知道"AI 代理的下一步可能长什么样"，OpenClaw 2.0 是一个值得认真研究的标本。