OpenClaw v2026.5.7, Agents SDK Sandboxes und Gemini CLI Safety Runtime

[NOVA]: Das ist OpenClaw Daily. Ich bin NOVA.

[ALLOY]: Und ich bin ALLOY. Heute beginnen wir mit OpenClaw v2026.5.7, denn dieses Release verändert, wie Operatoren Publishing, Cron-Zustände, Kanal-Konfiguration, Autorisierung, Delivery, Voice, WhatsApp-Routing und Codex-Genehmigungen sehen, bevor wir zu JavaScript-Agent-Sandboxes und Gemini CLI Runtime-Hardening übergehen. ...

[NOVA]: Das Release gibt Operatoren neue Möglichkeiten zu sehen, ob Publishing, Cron, Kanäle, Auth, Delivery, Voice, Memory und Genehmigungen tatsächlich funktionieren. ClawHub Publishing wiederholt jetzt vorübergehende Dependency-Install-Fehler, hält Plugin-Publishes mit bestandener Vorschau am Laufen, wenn eine Preview-Zelle flaky ist, und verifiziert nach dem Publish jede erwartete Package-Version. Cron JSON zeigt jetzt den berechneten Status direkt. Kanalauflistung ist kanal-fokussiert statt Model-Auth-Details zu mischen. Auto-Reply Inline Skill Dispatch durchläuft jetzt die Before-Tool-Call-Autorisierungs-Hooks. Tavily-Tools lösen SecretRef-basierte Credentials aus dem aktiven Runtime-Config-Snapshot. Discord-Kanalziele mit Provider-Präfix werden als Kanal-Sends geroutet statt als irreführende Direktnachrichten-Versuche. Das ist die Gestalt des Releases: weniger versteckte Annahmen, weniger stale Caches, weniger falsche Erfolge und explizitere Operator-Verträge.

[ALLOY]: OpenClaw v2026.5.7 Macht Publishing, Kanäle, Cron, Auth, Memory, Delivery, Voice, WhatsApp und Codex-Genehmigungen Beobachtbarer und Sicherer Beginnen wir mit Release und Plugin-Publishing. Ein Maintenance-Release sollte Operatoren nicht im Unklaren lassen, ob ein Plugin tatsächlich überall veröffentlicht wurde, wo es landen sollte. v2026.5.7 fügt Retry-Handling für vorübergehende ClawHub CLI Dependency-Install-Fehler hinzu, hält ein Plugin publishbar, wenn eine Preview-Zelle flaky ist obwohl die Vorschau bestand, und verifiziert nach dem Publish jede erwartete ClawHub-Package-Version. Dieser letzte Verifizierungsschritt ist der wichtige. Eine Publish-Pipeline ist nicht fertig, wenn ein Befehl beendet wird; sie ist fertig, wenn die erwarteten Package-Versionen sichtbar sind, wo nachgelagerte Installer sie abrufen werden.

[NOVA]: Das ist wichtig für ein Plugin-Ökosystem, weil partielle Publishes schlimmer sind als saubere Fehler. Ein Package ist vielleicht an einem Ort verfügbar, an einem anderen fehlend, oder mit der falschen Version veröffentlicht. Operatoren jagen dann Install-Fehler, die wie lokale Konfigurationsprobleme aussehen, aber tatsächlich Release-Verteilungsprobleme sind. Post-Publish-Verifizierung macht den Release-Prozess zu einer Reconciliation-Loop: declare den erwarteten Package-Satz, versuche das Publish, und prüfe, ob der Registry-State übereinstimmt. Wenn nicht, ist der Fehler bei der Maintenance sichtbar statt wird von Usern entdeckt.

[ALLOY]: Die OpenAI-Model-Surface bekommt eine gezielte Ergänzung: openai/chat-latest wird als expliziter direkter API-Key-Model-Override unterstützt, um das moving ChatGPT Instant API Alias zu testen ohne den stabilen Default-Model zu ändern. Der Schlüsselbegriff ist expliziter Override. Ein moving Alias ist nützlich zum Testen von Verhalten aus der aktuellen Instant-Chat-Lane, aber es ist ein schlechter Default für Produktions-Agenten, weil sein zugrunde liegender Model-Snapshot sich ändern kann. Es hinter einem expliziten Model-ID zu halten lässt Builder das Alias testen während stabile Defaults für scheduled Jobs, Produktions-Workflows und reproduzierbare Evaluierungen erhalten bleiben.

[NOVA]: Cron wird leichter zu automatisieren. cron list --json und cron show --json enthalten jetzt berechneten Status, sodass externe Tools disabled, running, ok, error, skipped oder idle-State lesen können ohne OpenClaw's Status-Ableitung neu zu implementieren. Das ist eine gute API-Vertragsänderung. Wenn eine CLI Maschinen JSON gibt, sollte das JSON den State einschließen, den Menschen sehen. Sonst muss jedes Dashboard, jeder Monitor und jedes Wrapper-Script Status aus Timestamps, Last-Error-Feldern, Enable-Flags und Run-Markern reverse-engineeren. Das erzeugt inkonsistente Automation und Fehlalarme.

[ALLOY]: Kanalinspektion bekommt auch einen saubereren Vertrag. openclaw channels list ist jetzt nur Kanäle, fügt --all für gebündelte und Katalog-Kanäle hinzu, rendert installed, configured und enabled State, und verschiebt Model-Auth- und Nutzungsdetails zu openclaw models auth list, openclaw status und openclaw models list. Die Aufteilung ist wichtig, weil Kanal-Bereitschaft und Model-Authentifizierung unterschiedliche operative Domänen sind. Ein Slack- oder Discord-Kanal kann installiert aber deaktiviert, konfiguriert aber mit fehlenden Berechtigungen, oder aktiviert aber nicht aktuell gesund sein. Model-Auth gehört zu Provider-Credentials und Runtime-Auswahl. Diese in einem Befehl zu mischen macht es für Automation schwerer, einfache Fragen zu beantworten.

[NOVA]: Sicherheitsgrenzen werden an mehreren Stellen verschärft. Native Command-Handler honorieren jetzt Owner-Enforcement. Active Memory erfordert Admin-Scope für globale Memory-Toggles. Auto-Reply gating für Inline-Skill-Tool-Dispatch durchläuft jetzt Before-Tool-Call-Autorisierungs-Hooks. Das sind alles Autorisierungsfixes um Flächen herum, die System-State ändern können. Native Commands können privilegierte Kontrollpfade ausführen. Globale Memory-Toggles können beeinflussen, was zukünftige Sessions sich merken. Inline Skills können Tools aus einem Auto-Reply-Pfad triggern, wo der User vielleicht nicht jeden internen Schritt beobachtet. Das Release drückt diese Aktionen durch explizite Autorisierungsprüfungen zurück.

[ALLOY]: Der Inline-Skill-Dispatch-Fix ist erwähnenswert. Skill-Systeme sind praktisch, weil sie einem Agenten erlauben, eine Aufgabe zu verpacktem Verhalten zu routen. Aber wenn Auto-Reply einen Inline-Skill-Tool dispatchen kann ohne Before-Tool-Call-Autorisierung zu durchlaufen, wird der bequeme Pfad zum schwächeren Pfad. Das richtige Design ist, dass jeder Tool-Entry-Point, ob invoked durch einen sichtbaren Chat-Turn, einen Inline Skill, ein Plugin oder einen Hintergrund-Auto-Reply, durch denselben Policy-Hook vor der Ausführung fließt. Das gibt Administratoren einen Ort, um Allow, Deny, Prompt, Log oder Rate-Limit-Verhalten zu implementieren.

[NOVA]: Credentials bekommen einen ähnlichen Runtime-Boundary-Fix. Dedizierte tavily_search und tavily_extract Tools lösen jetzt Credentials aus dem aktiven Runtime-Config-Snapshot, sodass exec SecretRef-backed API-Keys die Tools nicht unaufgelöst erreichen. SecretRef-Systeme funktionieren nur, wenn jedes Tool Secrets durch dieselbe aufgelöste Runtime-Ansicht liest. Wenn ein Tool das wörtliche unaufgelöste Marker empfängt, sieht der Fehler wie schlechte Credentials aus obwohl das Secret existiert. Schlimmer noch, Entwickler könnten es umgehen, indem sie einen Key hardcoden. Aus dem aktiven Snapshot Auflösen hält per-Run-Config, SecretRefs und Tool-Credentials aligniert.

[ALLOY]: Managed Plugin-Install-Pfade werden robuster. OpenClaw verwendet jetzt dieselbe absolute POSIX npm Lifecycle-Shell für managed Plugin Install, Rollback, Repair und Uninstall npm-Operationen wie gestaffelte Package-Updates. Das Failure-Mode hier ist subtil: eine eingeschränkte PATH-Shell kann Cleanup oder Rollback brechen selbst wenn der ursprüngliche Install-Pfad funktioniert. Dieselbe absolute Lifecycle-Shell über Install- und Repair-Aktionen hinweg zu verwenden reduziert Environment-Drift. Operatoren sollten darauf vertrauen können, dass Rollback dieselben Toolchain-Annahmen verwendet wie Install.

[NOVA]: Session- und Kontext-Korrektheit bekommt Aufmerksamkeit. Gateway-Sessions löschen gecachte Skill-Snapshots während /new und sessions.reset, sodass langlebige Kanalsessions Skill-Listen nach Skill-Änderungen neu aufbauen. Agent-Kontext-Engines invalidieren gecachte assemblierte Kontext-Ansichten, wenn Quellenhistorie schrumpft oder Assembly fehlschlägt, was verhindert, dass stale Pre-Reset-Historie wiederverwendet wird. Das sind Cache-Invalidierungs-Bugs, aber der User-facing Impact ist schwerwiegend. Wenn ein Reset den Skill-Snapshot nicht löscht, könnte der Agent stale Capabilities bewerben. Wenn eine Kontext-Ansicht ein Historie-Shrink überlebt, kann das Modell alten Konversationsstate nach einem Reset sehen.

[ALLOY]: Compaction bekommt einen Model-Limit-Wächter. Summary-Reserve-Tokens werden auf das Output-Limit jedes Models geklammert, sodass High-Context-Compaction keine ungültigen max_tokens-Werte mehr anfordert. Das ist ein praktisches Multi-Model-Problem. Ein Kontext-Engine kann einen großen Summary-Reserve planen, aber das ausgewählte Modell kann vielleicht nicht so viele Tokens emitieren. Wenn die Anfrage trotzdem rausgeht, schlägt Compaction an der Provider-Grenze fehl. Reserve-Tokens auf Model-Output-Limits zu klammern macht aus einer ungültigen Anfrage einen begrenzten Summary-Plan.

[NOVA]: Delivery-Semantik werden ehrlicher. Agent-Delivery meldet jetzt deliverySucceeded=false, wenn Outbound-Delivery kein Adapter-Ergebnis zurückgibt, sodass behauptete oder leere Delivery-Pfade nicht mehr als erfolgreiche Sends verkleiden. Cron isolated Runs schlagen auch implizite Announce-Delivery vor Model-Ausführung fehl, wenn delivery.channel=last keine vorherige Route hat, sodass wiederkehrende Jobs keine Tokens ausgeben, bevor sie auf einen permanenten Delivery-Target-Fehler treffen. Beide Änderungen folgen demselben Prinzip: kein teures Work ausführen, wenn der Output-Pfad unmöglich ist, und keinen Erfolg melden, wenn kein Adapter Delivery bestätigt hat.

[ALLOY]: Discord-Target-Parsing bekommt einen konkreten Fix für Channel-übergreifendes Agent-Messaging. Provider-präfigierte Targets wie discord:channel: parsen jetzt als Kanal-Sends statt als Legacy-Discord Direktnachrichten-Targets. Das verhindert, dass Channel-übergreifende Agent-Message(action="send")-Calls Kanal-IDs in irreführende Unknown-Channel-Fehler misrouten. Namespaces sind hier wichtig. Ein provider-präfigiertes Kanal-Target ist keine User-ID, und eine generische Messaging-Layer sollte diese Intention一路 bis zum Adapter erhalten.

[NOVA]: Telegram-Hardening umfasst Autorisierung und Liveness. Telegram honoriert jetzt accessGroup:* Sender-Allowlists für DMs, Gruppen, native Commands und Callback-Autorisierung, bevor numerische Sender-ID-Prüfungen angewendet werden. Der Polling-Watchdog bleibt an getUpdates-Liveness gebunden, sodass unrelatierte Outbound-Bot-API-Calls einen festgefahrenen Inbound-Poller nicht maskieren können. Dieser zweite Fix ist ein klassisches Health-Check-Problem. Ein Bot kann noch Nachrichten senden, während seine Inbound-Polling-Loop feststeckt. Wenn Outbound-Calls den Watchdog zurücksetzen, sieht das System gesund aus obwohl es keine User-Input empfangen kann.

[ALLOY]: Voice-Operationen verbessern sich auf Discord. channels capabilities und channels status --probe prüfen jetzt Discord-Voice-Kanal-Berechtigungen, einschließlich Auto-Join-Targets, sodass fehlende Connect, Speak und Read-Message-History-Berechtigungen vor /vc join auftauchen. Voice-Capture ist auch weniger abgehackt: die Default Post-Speech-Silence-Grace erweitert sich auf 2,5 Sekunden, voice.captureSilenceGraceMs ist verfügbar für noisy Sessions, und das Spoken-Output-Prompt wird um live STT-Fragmente herum angezogen. Voice-Agenten leben oder sterben an Turn-Segmentierung. Zu wenig Silence-Grace schneidet Sprecher ab. Zu viel Grace macht den Agenten träge. Die Grace konfigurierbar zu machen gibt Operatoren einen Tuning-Knob für Raumrauschen und Sprechstil.

[NOVA]: WhatsApp-Fixes sind operativ spezifisch aber wichtig. Proaktive Telefonnummer-Sends routen jetzt durch Baileys LID-Forward-Mappings, wenn verfügbar, sodass LID-adressierte Kontakte Agent-Nachrichten empfangen statt Sender-Only-Ghost-Chats zu erstellen. Captioned MEDIA:-Direktive Auto-Replies senden jetzt einmal statt eine leere Media-Nachricht vor der captioned Media-Reply zu emitieren. Beides sind Beispiele für Adapter-Korrektheit. Messaging-Provider haben oft mehrere Identitätsformen und Media-Primitives. Die Agent-Plattform muss sie korrekt mappen oder User sehen Duplicate, Missing oder Ghost-Messages.

[ALLOY]: Codex-Approvel-Verhalten ändert sich auf eine Weise, die Approvel-Fatigue reduzieren sollte ohne Review zu umgehen. In Codex-Approvel-Modi hört OpenClaw auf, den Pre-Guardian-Native PermissionRequest-Hook standardmäßig zu installieren, was Codex's Reviewer erlaubt, sichere Commands zu genehmigen, bevor OpenClaw ein Approval surface. Es merkt sich Allow-Always-Entscheidungen für identische Codex Native PermissionRequest-Payloads innerhalb des aktiven Session-Fensters, und Plugin-Approvel-Anfragen validieren und rendern ihre tatsächlichen erlaubten Entscheidungen, sodass Telegram und andere native Approvel-UIs keine stale Aktionen anbieten können. Der zu erklärende Detail ist Sequenzierung: den inneren Reviewer sichere Commands behandeln lassen, Approvals surface wenn nötig, und sicherstellen, dass die UI-Aktionen dem aktuellen erlaubten Entscheidungsset entsprechen.

[NOVA]: Anbieter- und Medienkompatibilität erhalten ebenfalls Reparaturen. OpenClaw normalisiert APNG-gesniffte PNG-Uploads, bewahrt Gemini 3 Tool-Call-Gedankensignatur-Replay mit Fallback-Signaturen auf, akzeptiert Legacy-env:VAR-Custom-Provider-Schlüssel und repariert snake_case-Tool-Call-Transkript-Bereinigung. Das sind die Kanten, die Transkripte und Tools portierbar machen. Wenn Tool-Call-Signaturen nicht replayed werden, kann der Anbieterzustand Folgeturns ablehnen. Wenn die Transkript-Bereinigung snake_case-Tool-Calls falsch handhabt, weichen Replay- und Audit-Oberflächen von dem ab, was tatsächlich passiert ist.

[ALLOY]: Die praktische Release-Bewertung ist hoch für Betreiber. v2026.5.7 ist kein One-Flashy-Feature; es ist ein Set von Zuverlässigkeitsverträgen. Publishing verifiziert Registry-Zustand. Cron legt berechneten Status offen. Kanäle und Modell-Authentifizierung sind getrennt. Inline-Skills durchlaufen Autorisierung. SecretRefs werden zur Laufzeit aufgelöst. Kontext-Caches werden nach Reset ungültig. Lieferung schlägt fehl, bevor Tokens verschwendet werden. Sprachberechtigungen und Erfassungs-Timing sind sichtbar. Codex-Genehmigungen richten sich nach tatsächlichen Entscheidungen aus. Das sind die Änderungen, die ein Agent-System weniger mysteriös machen, wenn es den ganzen Tag läuft.

[NOVA]: OpenAI Agents JS v0.9 bis v0.11 verwandeln Sandboxes in Workspace-Manifeste, Laufzeitlimits, Tool-Planung und Artifact-Grenzen OpenAIs Agents SDK für JavaScript hat diese Woche schnell Fortschritte gemacht, und die wichtigste Änderung ist die Sandbox-Agent-Oberfläche. Sandbox-Agents bauen auf dem existierenden Agent, Runner und Run-Flow auf, fügen aber persistente Workspaces, Workspace-Manifeste, Sandbox-Sessions, Fähigkeiten, Snapshots, Memory und Resume-Unterstützung hinzu. Praktisch gesehen ist das der Unterschied zwischen einem Agent, der eine Funktion aufrufen kann, und einem Agent, der in einer kontrollierten Computerumgebung über Zeit arbeiten kann.

[ALLOY]: Die zentrale Abstraktion ist das Manifest. Ein Manifest beschreibt, was der Workspace des Agents enthält: synthetische Dateien und Verzeichnisse, lokale Dateien und Verzeichnisse, Git-Repositories, Umgebungsvariablen, Benutzer, Gruppen, Berechtigungen, Mounts und Ausgabeorte. Das verwandelt Sandbox-Setup in einen deklarativen Workspace-Vertrag. Anstatt dass eine Aufgabe sagt „irgendwie gib diesem Agent ein Repo und einen Ort zum Schreiben von Artifacts", sagt das Manifest genau, was gemountet ist, wo es erscheint, welche Dateien beschreibbar sind und welche externen Pfade erlaubt sind.

[NOVA]: Das ist wichtig, weil Datei- und Befehlsagenten Grenzen brauchen. Wenn ein Agent Dateien inspizieren, Befehle ausführen, Patches anwenden und Artifacts generieren kann, muss die Sandbox definieren, was im Scope ist. Ein persistenter Workspace ist leistungsstark für langfristige Aufgaben, weil der Agent aus vorherigem Zustand fortfahren kann, aber Persistenz bedeutet auch, dass sich Zustand ansammeln kann. Snapshots und Resume-Verhalten ermöglichen es Buildtern zu entscheiden, wann sie diesen Zustand bewahren, wiederherstellen oder verwerfen. Die operative Frage wird: welche Dateien sind Aufgabeneingaben, welche sind generierte Ausgaben, und welche sind persistentes Memory über Runs hinweg?

[ALLOY]: v0.11.0 fügt eine Artifact-Grenzen-Änderung hinzu, die leicht zu übersehen, aber wichtig ist. Sandbox lokale Quellmaterialisierung behält jetzt LocalFile.src und LocalDir.src innerhalb des Materialisierungs-baseDir bei, es sei denn, der Quellpfad ist von Manifest.extraPathGrants abgedeckt. Das Basisverzeichnis ist das SDK-Prozess-Arbeitsverzeichnis, wenn das Manifest angewendet wird. Relative Quellen werden von diesem Verzeichnis aufgelöst. Absolute Quellen müssen bereits darin oder unter einer expliziten Erlaubnis sein. Das schließt ein lokales Artifact-Grenzen-Problem.

[NOVA]: Die Migrationsimplikation ist direkt. Wenn eine Anwendung absichtlich vertraute Host-Dateien von außerhalb des Basisverzeichnisses in einen Sandbox-Workspace kopiert, muss sie das jetzt mit einem extra Path Grant deklarieren. Das ist ein besserer Vertrag. Es macht den Unterschied zwischen „der Agent kann beliebige Host-Pfade lesen, weil ein Quellpfad dorthin zeigte" und „die Anwendung hat dieses externe Verzeichnis explizit gewährt, möglicherweise schreibgeschützt, mit einer Beschreibung." Für Agent-Systeme, die Kundendaten, proprietäre Repositories oder crediential-adjazente Dateien handhaben, sind explizite Grants der richtige Standard.

[ALLOY]: Das SDK-Standardmodell änderte sich in v0.10.0 von gpt-4.1 zu gpt-5.4-mini, wenn kein Modell gesetzt ist. Das betrifft Agents und Runs, die sich auf implizite Standards verließen. Weil das neue Standardmodell ein GPT-5-Modell ist, schließen implizite Standardmodell-Einstellungen jetzt GPT-5-Standards ein wie reasoning.effort="none" und verbosity="low". Die Builder-Empfehlung ist einfach: Produktionsagenten sollten das Modell explizit setzen. Standards sind nützlich für Beispiele und Prototypen, aber Agent-Verhalten, Kosten, Latenz, Reasoning-Effort und Verbosity sollten sich nicht verschieben, nur weil eine Abhängigkeit aktualisiert wurde.

[NOVA]: Turn-Limits werden explizit. maxTurns=null kann das Agents SDK Run-Turn-Limit deaktivieren, während der Standard bei DEFAULT_MAX_TURNS bleibt, aktuell zehn, wenn die Einstellung weggelassen wird. Das ist ein Laufzeit-Sicherheitsventil. Ein hartes Turn-Cap verhindert Entgleisungs-Loops und Überraschungskosten. Das Cap zu deaktivieren kann für langfristige Workflows notwendig sein, aber es sollte mit anderen Kontrollen gepaart werden: Wanduhr-Timeouts, Tool-Allowlists, Budgetlimits, Checkpointing und Fortschritts-Sichtbarkeit. Die nützliche Unterscheidung ist: weggelassen bedeutet sicherer Standard; null bedeutet, der Entwickler hat das Limit absichtlich entfernt.

[ALLOY]: Tool-Planung wird ebenfalls kontrollierbarer. toolExecution.maxFunctionToolConcurrency auf RunConfig kontrolliert SDK-seitige lokale Funktions-Tool-Ausführungs-Parallelität. Das ist getrennt von anbieter-seitigem ModelSettings.parallelToolCalls. Diese Trennung ist wichtig. Das Modell darf möglicherweise mehrere Tool-Calls parallel vorschlagen, aber die lokale Laufzeit muss trotzdem entscheiden, wie viele gleichzeitig auszuführen sind. Ein Dateisystem-Tool, Datenbank-Tool, Shell-Tool und HTTP-Tool haben verschiedene Nebeneffekte und Ressourcenprofile. Lokale Parallelität ist eine Laufzeit-Planungsrichtlinie, nicht nur eine Modellerzeugungs-Präferenz.

[NOVA]: MCP-Tool-Benennung erhält eine Kollisionsvermeidungs-Option. Das SDK kann den MCP-Server-Namen in Tool-Namen einfügen, was mit dem Python SDK übereinstimmt. Das verhindert Konflikte, wenn mehrere MCP-Server Tools mit demselben lokalen Namen bereitstellen. Ohne Server-Präfixe könnten zwei verschiedene Server beide search, read oder query bereitstellen. Der Agent sieht dann mehrdeutige Tool-Namen, und Logs werden schwerer zu prüfen. Server-präfixierte Benennung macht den Tool-Namespace expliziter, was besonders wichtig ist, wenn Agents sich mit mehreren internen und externen Tool-Servern verbinden.

[ALLOY]: v0.11.0 ändert auch das Standardmodell von RealtimeAgent zu gpt-realtime-2. Realtime-Standards sind nicht kosmetisch. Ein Realtime-Modell beeinflusst Audio-Latenz, Turn-Taking, Transkriptionsverhalten, Barge-in-Erwartungen und Sprachinteraktionsqualität. Wenn ein Produkt RealtimeAgent verwendet, ohne ein Modell zu pinnen, kann das Upgrade des SDK das zugrunde liegende Realtime-Verhalten ändern. Wieder ist die Empfehlung, Produktionsstandards zu pinnen und neue Realtime-Modelle unter repräsentativen Audio-Bedingungen zu testen, bevor sie in kundenorientierte Sessions verschoben werden.

[NOVA]: Die Release-Serie enthält auch Fixes, die zeigen, wo Agent-Laufzeiten versagen. v0.9.1 bewahrt Identität von Agents mit doppelten Namen in Run-State-Serialisierung, gleicht gestreamte Funktionsaufrufe ab, wenn Server-verwaltete Runs abbrechen, und vermeidet Replaying von Assistant-Conversation-Item-IDs. v0.10.1 stellt Session-History wieder her, wenn Responses-Compaction-Ersetzung fehlschlägt, und validiert gehostete MCP-Genehmigungsrichtlinien. Das sind Zustandsmaschinen-Fixes. Agent-Systeme haben lokalen Zustand, Server-Zustand, gestreamte Deltas, Compaction-Ersetzung und Genehmigungsrichtlinien. Wenn diese abweichen, kann der nächste Turn das falsche Item replayen, History verlieren oder die falsche Aktion genehmigen.

[ALLOY]: Die praktische Empfehlung für JavaScript-Builder ist, das Agents SDK als Laufzeit zu behandeln, nicht nur als Wrapper um Modellaufrufe. Definiere Workspace-Manifeste eng. Verwende extraPathGrants für Host-Pfade absichtlich. Pinne Produktionsmodelle. Entscheide, ob Turn-Limits beim Standard bleiben, erhöht oder mit anderen Guardrails deaktiviert werden sollten. Setze lokale Tool-Parallelität basierend auf Nebeneffekten. Präfixe MCP-Tool-Namen, wenn mehrere Server angeschlossen sind. Teste Realtime-Modelländerungen als Produktverhaltensänderungen, nicht nur als Abhängigkeits-Updates.

[NOVA]: Gemini CLI v0.42 Nightlies härten Agent-Laufzeitkanten: Shell-Safety-Evals, Genehmigungsrennen, Kompressionsqueues, OAuth-Hänges und Auto-Memory-Patches Die Gemini CLI-Mai-6- und Mai-7-Nightlies sind nützlich, weil sie die unglamouröse Laufzeitarbeit zeigen, die für Kommandozeilenagenten erforderlich ist. Die Änderungen sind kein einzelnes Modell-Launch; sie sind eine Liste von Edge Cases um Genehmigung, Shell-Sicherheit, Kontextkompression, Streaming-Fehler, OAuth, Sandbox-Benennung, Auto Memory und nicht-interaktive Ausgabe. Das sind genau die Stellen, wo CLI-Agenten brüchig werden.

[ALLOY]: Beginne mit Genehmigungen. Die A2A-Server-Fixes beheben eine Tool-Genehmigungs-Race-Condition, verbessern Statusreporting und lösen ein Race im Tool-Abschluss-Warten. In einer Agent-Laufzeit ist Genehmigung eine Zustandsmaschine. Ein Tool-Call wird vorgeschlagen, Genehmigung wird angefordert, eine menschliche oder Richtlinienentscheidung kommt, das Tool wird ausgeführt oder verweigert, und die Laufzeit meldet Abschluss. Wenn das System Status meldet, bevor das Genehmigungsergebnis festgeschrieben ist, oder auf das falsche Abschlusssignal wartet, kann die UI ein Tool als fertig zeigen, während es noch aussteht, oder nach einer Verweigerung ausführen, obwohl ein Pfad es hätte stoppen sollen.

[NOVA]: Shell-Befehl-Safety-Evals sind eine starke Ergänzung. Shell-Tools sind leistungsstark, weil sie Agenten ermöglichen, Dateien zu inspizieren, Tests auszuführen, Abhängigkeiten zu installieren und Entwickler-Workflows zu betreiben. Sie sind aus demselben Grund gefährlich. Eine Shell-Safety-Eval-Suite gibt Maintainern einen Weg zu testen, ob Modell und Laufzeit riskante Befehle, Umleitungen, destruktive Dateioperationen, Credential-Exposure und Sandbox-Escape-Versuche korrekt identifizieren. Der wichtige Teil ist, dass Sicherheit als Verhalten evaluiert wird, nicht nur als Richtlinie dokumentiert.

[ALLOY]: Die Nightlies fügen auch JSON-Ausgabe für AgentExecutionStopped im nicht-interaktiven Modus hinzu. Das ist wichtig für CI und Wrapper-Scripts. Eine menschliche TUI kann einen gestoppten Zustand in Prosa zeigen; Automatisierung braucht ein strukturiertes Objekt. Wenn nicht-interaktive Runs wegen einer Richtlinie, Limits, Fehler oder Genehmigungszustand stoppen, ermöglicht JSON-Ausgabe aufrufenden Systemen, einen sauberen Stopp von einem Crash oder Timeout zu unterscheiden. CLI-Agenten werden zunehmend innerhalb geplanter Jobs und Orchestrierungssysteme ausgeführt, also sind strukturierte Terminal-Semantiken Teil der Produktoberfläche.

[NOVA]: Kontextkompression erhält eine Queueing-Korrektur: Nachrichten können während der Kompression gequeued werden. Kompression ist notwendig, weil lange Agent-Sessions Kontextlimits überschreiten, aber es ist auch eine Parallelitätsgefahr. Wenn ein Benutzer eine Nachricht sendet, während die Laufzeit History komprimiert, muss das System entscheiden, ob Eingabe blockiert, verworfen, zum alten Kontext hinzugefügt oder für den komprimierten Kontext gequeued wird. Queueing bewahrt die Absicht des Benutzers, während der Kontext-Manager einen kohärenten Rewrite beendet. Ohne das werden Chat-Korruption oder verlorene Turns wahrscheinlich.

[ALLOY]: Die CLI versucht auch ERR_STREAM_PREMATURE_CLOSE-Fehler zu wiederholen. Streaming-Agent-Runs hängen von langlebigen Verbindungen über Modellausgabe, Tool-Fortschritt und Terminal-Rendering ab. Ein vorzeitiger Close kann ein transienter Netzwerk- oder Transportfehler statt eines logischen Fehlers sein. Vorsichtiges Wiederholen kann das System robuster machen, aber die Laufzeit muss Nebeneffekte vermeiden zu duplizieren. Das sichere Muster ist, idempotente oder Pre-Execution-Stream-Pfade zu wiederholen und konservativer zu sein, sobald ein Tool Zustand mutiert hat.

[NOVA]: Mehrere Fixes betreffen headless und nichtstandardmäßige Umgebungen. Die CLI verhindert ein stilles Hängen während der OAuth-Authentifizierung auf headless Linux. Sie lehnt numerische Projekt-IDs in GOOGLE_CLOUD_PROJECT ab. Sie verbessert die MCP-Listen-UX in nicht vertrauenswürdigen Ordnern. Dies sind operatorqualitative Fixes. Viele Agents laufen auf Remote-Maschinen, Containern, CI-Workern oder Servern ohne Browser. Authentifizierungs- und Projektauflösungsfehler müssen mit handlungsfähigem Status fehlschlagen, nicht hängen und auf eine UI warten, die nicht existiert.

[ALLOY]: Sandbox-Verhalten erhält kleinere, aber wichtige Änderungen. Die CLI randomisiert Sandbox-Containernamen und erlaubt Umleitung in YOLO- und AUTO_EDIT-Modi ohne Sandboxing. Randomisierte Containernamen reduzieren Konflikte, wenn mehrere Runs auf demselben Host ausgeführt werden. Umleitungsverhalten ist wichtig, weil Shell-Syntax Teil normaler Entwicklerarbeit ist: Ausgabe in Dateien umleiten, Logs pipen und Patches schreiben. Aber jede Änderung rund um Umleitung braucht auch eine Sicherheitsevaluierung, weil Umleitung Dateien überschreiben oder Inhalte exfiltrieren kann. Deshalb gehören Shell-Safety-Evals und Shell-Verhaltensänderungen in dieselbe Diskussion.

[NOVA]: Auto Memory erhält eine private Patch-Allowlist-Verfeinerung und klarere Dokumentation, dass Auto Memory Speicher-Updates und Skills vorschlägt. Persistenter Speicher ist nur nützlich, wenn Updates begrenzt und überprüfbar sind. Eine Speicher-Patch-Allowlist kontrolliert, welche Arten von privaten Speicher-Updates automatisch angewendet werden dürfen. Ohne diese Grenze könnte ein Agent sensible, falsche oder zu breite Fakten persistieren. Mit einer zu strengen Grenze wird Speicher nutzlos. Das richtige Operator-Modell ist Vorschlag, Begrenzung, Allowlist und Überprüfung.

[ALLOY]: Das Release vom 7. Mai verschiebt auch Tool-Erklärungen vom Thought-Stream in den Tool-Call-Content. Das klingt vielleicht nach UI-Bereinigung, aber es betrifft Datenschutz und Observability. Thought-Streams und Tool-Call-Content haben in vielen Systemen unterschiedliche Zielgruppen und Aufbewahrungsregeln. Wenn eine Tool-Erklärung zum Tool-Call gehört, macht sie dort das Audit-Log klarer und vermeidet, benutzerorientierte Tool-Rationalität mit internen Reasoning-Kanälen zu vermischen. Agent-Runtimes brauchen diese Content-Grenzen, um konsistent zu bleiben.

[ALLOY]: Die Approval-Race-Fixes sind besonders wichtig für Agent-zu-Agent-Server. Wenn ein Agent einen anderen Runtime bittet, Arbeit zu erledigen, sieht die anfragende Seite möglicherweise nur einen Status-Stream. Wenn dieser Stream genehmigt, abgelehnt, läuft und abgeschlossen in der falschen Reihenfolge sagt, kann Orchestrierungscode unsichere Annahmen machen. Ein robuster A2A-Server behandelt Genehmigung, Ausführung, Abbruch und Abschluss als separate Zustände mit stabilen Übergängen.

[NOVA]: Shell-Safety-Evals sollten auch als Regression-Infrastruktur gelesen werden, nicht nur als Richtlinie. Sobald ein CLI-Agent Umleitung, Dateiedits, Paketmanager und Sandbox-Modi unterstützt, brauchen Maintainer Beispiele, die beweisen, dass der Runtime destruktive Befehle, gefährliche Umleitungen, Credential-Lesezugriffe und verwirrende Shell-Syntax erkennt. Andernfalls hängt Sicherheit von informeller Überprüfung ab und bricht, wenn sich das Modell oder der Prompt ändert.

[ALLOY]: Der Compression-Queue-Fix ist ein weiterer praxisbezogener Zuverlässigkeitspunkt. Lange Sessions komprimieren oft die History genau dann, wenn der Benutzer noch aktiv ist. Das Einreihen von Input während der Kompression bewahrt die Turn-Reihenfolge: Zusammenfassung beenden, die eingereihte Nachricht an den neuen Kontext anhängen und fortfahren. Wenn dieser Input verworfen wird oder ein Rennen entsteht, fühlt sich die CLI wie geisterhaft an, weil die nächste Nachricht des Benutzers gegen die falsche Session-Memory interpretiert würde.

[NOVA]: Die praktische Empfehlung für Gemini CLI-Operatoren ist, diese Nightlies als Runtime-Hardening-Signale zu beobachten. Approval-State-Maschinen brauchen Race-Tests. Shell-Tools brauchen Safety-Evals. Kompression braucht Input-Queuing. Streaming braucht Retry-Regeln, die doppelte Side-Effects vermeiden. OAuth braucht Headless-Failure-Modi. Speicher-Patches brauchen Allowlists. Non-interaktive Runs brauchen JSON-States. Das ist kein optionales Polish für einen CLI-Agenten; das ist der Unterschied zwischen einem Demo-Terminal und einer zuverlässigen Automatisierungsfläche.

[NOVA]: Lassen Sie uns die Operator-Checkliste konkretisieren. Für OpenClaw-Deployments ist das erste Checklisten-Item nach diesem Release die Veröffentlichungsverifizierung. Wenn ein Plugin behauptet, mehrere Pakete zu shippen, sollte der Release-Job die beabsichtigten Paketnamen und -versionen mit dem Registry-Ergebnis vergleichen. Das schützt Installer, aber es schützt auch den Maintainer, weil der Vorfall auf Verteilungszustand zeigt statt auf einen vagen Benutzerbericht über eine fehlgeschlagene Installation.

[ALLOY]: Zweitens, behandle Cron JSON als Monitoring-Interface. Ein Dashboard sollte nicht dieselbe Prosa scrapen, die ein Mensch liest. Es sollte Status, letzten Lauf, nächsten Lauf, aktivierten Zustand und Fehlerzustand direkt lesen. Sobald Status von der CLI berechnet wird, brauchen Wrapper keine konkurrierenden Regeln dafür, ob ein Job idle, übersprungen, deaktiviert oder fehlgeschlagen ist. Weniger unabhängige Interpretationen bedeutet weniger False Alerts.

[NOVA]: Drittens, trenne Routing-Gesundheit von Modell-Gesundheit. Eine Discord-, Telegram-, WhatsApp- oder Slack-Route kann konfiguriert sein, während ein Modellschlüssel fehlt, und ein Modell kann authentifiziert sein, während ein Kanal deaktiviert oder falsch berechtigt ist. Die Channel-Listing-Bereinigung macht diese Unterscheidung leichter zu bewahren. Sie macht es auch leichter für Support-Dokumente zu sagen: prüfe Channels hier, prüfe Modell-Auth dort, dann prüfe globalen Status für das kombinierte Runtime-Bild.

[ALLOY]: Viertens, für Memory und Skills, gehe davon aus, dass lang laufende Sessions veraltete Ansichten haben, es sei denn, die Runtime beweist, dass sie diese invalidiert. Skills-Snapshots sind hilfreich, weil sie das Neubauen von Capability-Listen jeden Turn vermeiden. Context-Caches sind hilfreich, weil das Assemblieren von Kontext teuer sein kann. Aber beide sind gefährlich nach Reset, Repair oder History-Shrink. Die Cache-Invalidierungs-Fixes dieses Releases sind eine Erinnerung, dass Resets nicht nur sichtbare Chat-History löschen müssen, sondern auch abgeleitete Runtime-Artefakte.

[NOVA]: Fünftens, Delivery sollte wenn möglich ein Preflight sein und danach ein berichtetes Ergebnis. Ein Cron-Job ohne letzte Delivery-Route sollte vor der Model-Ausführung fehlschlagen. Ein Send-Path ohne Adapter-Ergebnis sollte kein vorgetäuschter Erfolg werden. Das ist besonders wichtig für geplante Agents, weil niemand das Chat-Fenster beobachtet, wenn der Fehler passiert. Die Logs und Status-Felder müssen die Wahrheit sagen.

[ALLOY]: Für OpenAI Agents JS ist die Checkliste anders. Beginne damit, Modelle und Realtime-Modelle in der Produktion zu pinnen. Schreibe dann Manifests so, als würde ein Sicherheitsreviewer sie lesen, weil irgendwann jemand das tun wird. Deklariere lokale Verzeichnisse absichtlich. Verwende extra Path-Grants sparsam und beschreibe, warum sie existieren. Entscheide, welche Outputs Artefakte sind, welche Dateien beschreibbarer Workspace-State sind, und welche Host-Dateien read-only Inputs sind.

[NOVA]: Dann tune Runtime-Limits. Ein Standard-Ten-Turn-Cap ist ein Sicherheitsgeländer; ihn zu deaktivieren ist eine Designentscheidung. Wenn Max Turns null ist, füge einen Wall-Clock-Timeout, Budget-Kontrolle und Progress-Reporting hinzu. Wenn lokale Function-Tools concurrent laufen können, klassifiziere sie nach Side Effect. Read-only Search-Tools können meistens parallelisieren. Paket-Installation, Datenbankschreiben, Dateisystem-Mutationen und Shell-Befehle verdienen strengere Schedulierung.

[ALLOY]: MCP-Naming ist ein weiterer Produktions-Hygiene-Punkt. Server-Namen in Tool-Namen zu prefixieren sieht vielleicht noisy aus, aber es verhindert, dass der Agent und die Logs ein Search-Tool eines Servers mit dem eines anderen Servers verwechseln. In einer kleinen Demo fühlen sich kurze Namen besser an. In einer Produktionsumgebung mit internen Docs, Tickets, Code-Search, Browser-Tools und Customer-Data-Tools werden Namespace-Kollisionen zu Audit-Problemen.

[NOVA]: Für Gemini CLI beginnt die Checkliste mit nichtinteraktivem Verhalten. Wenn ein CLI-Agent in Automation laufen wird, brauchen gestoppte Zustände JSON. OAuth muss klar fehlschlagen, wenn kein Browser verfügbar ist. Streaming-Retries müssen doppelte Side-Effects vermeiden. Kompression muss eingereihten User-Input bewahren. Das sind langweilige Anforderungen, bis der Agent in CI, einer Remote-Shell oder einem geplanten Job läuft.

[ALLOY]: Shell-Safety verdient seine eigene Zeile. Die Frage ist nicht, ob Shell-Tools nützlich sind; sie sind es offensichtlich. Die Frage ist, ob der Runtime unterscheiden kann zwischen Inspection und Mutation, sicherer Umleitung und destruktivem Überschreiben, und normalen Developer-Befehlen und Credential- oder Sandbox-Risikobefehlen. Safety-Evals machen das zu einer testbaren Fläche. Sie ermöglichen es Maintainern, Regressions zu fangen, wenn Prompts, Modelle oder Shell-Parsing-Verhalten sich ändern.

[NOVA]: Die breitere Empfehlung über alle drei Stories hinweg ist, für den Moment nach dem Demo zu designen. Sobald Agents Pakete veröffentlichen, Cron-Jobs ausführen, Voice-Channels beitreten, Dateien editieren und Tools aufrufen, ist das Produkt nicht mehr nur eine Chat-Interface. Es ist eine Betriebsumgebung. Betriebsumgebungen brauchen Status-Verträge, Authorization-Hooks, explizite Dateisystem-Grenzen, durable Approval-States, strukturierte Fehler und Recovery-Pfade.

[ALLOY]: Und das beste Signal in diesen Releases ist, dass diese langweiligen Flächen Produktaufmerksamkeit bekommen. Veröffentlichungsverifizierung, SecretRef-Auflösung, Context-Invalidierung, Sandbox-Manifests, extra Path-Grants, Compression-Queues und Shell-Safety-Evals sind keine headline Model-Capabilities. Es sind die Teile, die entscheiden, ob eine Agent-Plattform vertraut werden kann, wenn niemand sie betreut.

[NOVA]: Ein letztes Implementierungsdetail: Jede dieser Schutzmaßnahmen sollte ein Artefakt erzeugen, das ein Mensch später überprüfen kann. Ein Registry-Verifizierungsergebnis, ein Cron-JSON-Status, eine Genehmigungsentscheidungs-Nutzlast, ein Sandbox-Manifest und ein gestoppter-Lauf-JSON-Objekt sind alles Belege. Sie ermöglichen es einem Betreuer zu rekonstruieren, was der Agent glaubte, was die Runtime erlaubte, welche Tools ausgeführt wurden und wohin die Ausgabe gehen sollte.

[ALLOY]: Diese Evidence-Ebene ist es, die Agenten-Operationen von Stimmungen zu Ingenieursarbeit macht. Wenn eine Automatisierung fehlschlägt, sollten Sie nicht fragen müssen, ob das Modell halluziniert hat, die Route fehlte, die Anmeldedaten nicht aufgelöst wurden, der Kontext veraltet war, die Sandbox zu viel gelesen hat oder die Genehmigungs-UI die falsche Aktion angeboten hat. Das System sollte diese Suche für Sie eingrenzen.

[ALLOY]: Die praktische Erkenntnis aus EP047 ist operativ: OpenClaw v2026.5.7 macht den Systemzustand sichtbarer und sicherer in den Bereichen Publishing, Cron, Channels, Memory, Delivery, Voice, Messaging und Genehmigungen. OpenAI Agents JS zeigt, wie sandboxierte Agents sich zu Workspace-Manifest-Runtimes mit expliziten Pfadgewährungen, Turn-Limits, Tool-Concurrency und MCP-Namespaces entwickeln. Gemini CLI zeigt die Runtime-Kanten, die wichtig sind, wenn Command-Line-Agents in echten Workflows laufen: Genehmigungs-Races, Shell-Sicherheit, Kompressions-Warteschlangen, Transport-Retries, OAuth-Liveness und Memory-Patch-Scope. Für Entwickler geht es nicht nur darum, was der Agent tun kann; es geht darum, welche Grenzen, Status und Wiederherstellungspfade existieren, wenn er die Arbeit erledigt.

[NOVA]: Danke fürs Zuhören bei OpenClaw Daily. Die Shownotes und Quelllinks findet ihr unter Toby On Fitness Tech dot com, und wir sind bald zurück.