OpenClaw 3.28大版本更新-高危操作拦截和Grok搜索内置
白屏事故四天后，OpenClaw 3.28带着一整套安全补丁和功能升级来了。这次的版本日志，光是官方标注的”重大变更”就有十多项，如果把修Bug的细项全部列出来，怕是要做成一本小册子。不过对用户来说，最值得关心的其实是三件事：内置的Grok搜索、异步审批拦截，以及对恶意Skills的防御思路。
从”删库跑路”到”等老板确认”
3.22版本发布时，Peter（OpenClaw创始人）漏打包了UI资源文件，导致大量用户在更新后直接白屏，连控制台都进不去。有人形容那场面像”养的龙虾集体暴毙”。虽然3.23紧急修复并加了发布流程拦截，但这件事让社区意识到一个问题：现在的Agent权限实在太大了——它能删文件、能发消息、能调用各种API，一个代码bug或者一个恶意的Skills，就能造成不可逆的损失。
3.28版本给出的答案是requireApproval——一个异步拦截机制。在小龙虾执行高危操作之前，系统会通过Telegram、Discord或者命令行弹出一个确认框，问你一句”老板，这活儿能干吗？”你可以选择/approve放行，也可以直接拒绝。
这个设计本身并不复杂，但意义在于它把”能力”和”边界”分开处理了。过去大家倾向于认为Agent越强越好，最好什么都不用问。但当你的赛博秘书真的能帮你删邮件、帮你发消息、甚至帮你操作文件系统的时候，你不会希望它没有任何确认环节就自己跑去执行。
内置Grok和通义千问的迁移
xAI的Grok搜索这次被提到了第一梯队，原生集成进OpenClaw的核心工具集里。之前用户在配置Grok时需要手动折腾插件开关，现在打开 onboard 或 configure 流程就能直接选，不需要额外操作。xAI官方把这个变化描述为”x_search工具的一级支持”，意味着Grok的网页搜索能力和工具配置在OpenClaw内部彻底打通了。
与此同时，通义千问（Qwen）完成了从旧版qwen-portal-auth OAuth到Model Studio的迁移。如果你之前用portal.qwen.ai的接口配置的千问，现在需要重新走一遍认证流程，用Model Studio的API Key重新接入。这不是破坏性变更，但需要手动处理一次，官方提供了openclaw onboard --auth-choice modelstudio-api-key这条命令来完成切换。
MiniMax画图和Discord的改变
画图功能这次多了MiniMax的支持，image-01模型直接集成进来，可以做图像生成和图生图编辑，还能控制长宽比。对于需要用AI生成配图或者做视觉素材的用户来说，这又多了一个可选项——当然前提是你有MiniMax的API额度。
Discord的变化值得单独说一下。之前OpenClaw在Discord里处理长请求时会超时，然后就这么静悄悄地不回应，用户完全不知道发生了什么。3.28里，超时后现在会发送一条超时提示，至少告诉你”我还在处理但没弄完”。另外，新版本支持/acp spawn codex --bind here，可以把当前聊天频道直接变成一个Codex驱动的工作区，不需要另开子线程——这个改动对需要在Discord里协作开发的团队挺有用。
为什么ClawHub的信任问题还是没解决
国家互联网应急中心前阵子专门发了风险提示，其中提到ClawHub官方商店里曾出现过同一个人上传300多个伪装成金融分析、自动更新的恶意Skills。这类Skills看起来功能正常，但底层代码会偷偷下载不明文件、读取私钥配置、甚至窥探用户的MEMORY.md记忆文件。
官方推荐的做法是装Skill Vetter——一个极其严格的权限审查工具。它的逻辑是把底层代码翻个底朝天，检查有没有往外传数据、是否试图读取私钥配置、或者偷窥记忆文件。一旦碰到红线，直接毙掉；就算意图正当但索要的权限过大，也会亮红灯，把最终决定权交还给用户。
但这里有个悖论：Skill Vetter本身也是一个Skills。如果有人上传了一个伪装得极好的Skill Vetter呢？历史上这种”杀毒软件本身就是病毒”的案例并不少见。3.28版本给了更多工具和更细的钩子，但在信任体系的建设上，这个问题似乎还没有被真正回答。
关于这次更新
3.24到3.28，四天时间，OpenClaw发了四个版本。这种迭代速度，对于一个GitHub Star超过25万、开源社区参与者众多的项目来说，既是优势也是风险。优势在于响应快、修复及时；风险在于，像3.22那种”漏打包”的低级错误，在快速迭代中更容易发生。
如果你目前在使用OpenClaw，3.28是一个值得更新的版本——尤其是内置了Grok、加入了审批拦截这两个功能，会直接影响日常使用体验。但切记：在拥抱新模型和新玩法之前，先把安全检查工具配上。能力越大，防线越重要。