O OpenClaw 2.0 entregou metade de tudo o que o projeto já fundiu na vida — depois de sete semanas sem lançar nada

Durante 230 dias, o OpenClaw lançou uma versão mais ou menos a cada dois dias — 106 no total, a maioria chegando um ou dois dias depois da anterior. Então, em meados de julho de 2026, parou. Durante 49 dias, o agente de IA de código aberto com 388.419 estrelas no GitHub não publicou absolutamente nada.

Em 31 de agosto de 2026 publicou a v2026.8.1, e essa versão continha mais de 16.000 pull requests fundidas de 933 colaboradores, dos quais 569 nunca haviam contribuído antes. Pela contabilidade do próprio projeto, essa única versão carrega cerca de 50 % de todas as pull requests já fundidas no OpenClaw.

O padrão é difícil de não ver, e não é bem sobre um único projeto. Nos últimos dezoito meses a camada de modelos se abriu: pesos para baixar, licenças legíveis, preços que desabaram. O que o OpenClaw 2.0 marca é a mesma coisa um andar acima, na camada que decide o que um modelo pode tocar. Este texto é uma leitura atenta dessa versão: o que os números de velocidade realmente medem, a configuração «traga seu próprio modelo» que importa a assinatura que você já paga, a função multiplayer que ataca a passagem de contexto, a migração que pode quebrar sua instalação atual, e os padrões de segurança que continuam desligados. É a sequência dos nossos textos sobre o modelo furtivo que se revelou GLM-5.3-Flash e sobre o download de 27B que superou o melhor modelo fechado de fevereiro — o mesmo argumento, uma camada de abstração acima.

Resumo:

• O volume está verificado e é enorme. Mais de 16.000 PRs, 933 colaboradores, 569 de primeira viagem, numa versão publicada em 31 de agosto de 2026 — cerca de metade do total já fundido na história do projeto, depois de 49 dias sem lançamentos.
• «A IA que é sua» agora tem um significado concreto. A configuração guiada reaproveita um login de CLI existente no Codex, ChatGPT ou Claude, uma chave de API colada, um login novo com um provedor, ou um modelo Ollama / LM Studio já instalado — e prova que a escolha sabe responder antes de salvar.
• Esta é a virada para a maturidade, e ela custa algo. Sessões e transcrições foram para o SQLite, HEARTBEAT.md não é mais lido em tempo de execução, o alias deactivate do SDK de plugins sumiu, e reverter depois da migração exige que a CLI atual restaure primeiro os artefatos legados arquivados.
• Segurança melhor não é o mesmo que padrões seguros. Sandbox e aprovações de execução vêm desligados, o Secret Store não é criptografado em repouso, e as sessões compartilhadas estão documentadas como não sendo uma fronteira de segurança.

Cadência e conteúdo do ciclo 2.0. Números das notas de versão e do artigo do projeto, 31 de agosto de 2026.

Dezesseis mil pull requests são uma afirmação sobre gente, não sobre código

Comecemos pelo que o número não é. 16.000 PRs fundidas não são 16.000 funcionalidades, e quem já acompanhou um repositório ativo sabe que a maior parte desse volume é correção de documentação, atualização de dependências, endurecimento de testes e correção de uma linha. As notas de versão confirmam isso: subseções inteiras são listas de entradas como «Corrigir o comando de configuração do onboarding» e «Remover sublinhados dos cartões de sessão do painel».

O que o número de fato mede é participação, e essa é a grandeza mais interessante. 933 pessoas contribuíram para esta versão e 569 delas nunca haviam entregue nada ao OpenClaw — uma taxa de primeira contribuição de 61 %. Essa proporção é a de um projeto cuja base de colaboradores ainda está se expandindo, em vez de se consolidar em torno de um time central.

A trajetória ao redor é mais íngreme do que a própria versão. A Wikipédia registra o projeto com 247.000 estrelas e 47.700 forks em 2 de março de 2026. Quando consultamos a API do GitHub em 1º de setembro de 2026, o mesmo repositório devolveu 388.419 estrelas e 81.534 forks — um aumento de cerca de 141.000 estrelas e 34.000 forks em seis meses, num repositório que não existia antes de 24 de novembro de 2025.

Números de março via o verbete da Wikipédia sobre o OpenClaw; números de setembro obtidos diretamente da API REST do GitHub em 1º de setembro de 2026. Contagem de estrelas é sinal de popularidade, não medida de uso.

Essa última ressalva importa. Estrelas são o endosso mais barato possível — um favorito, não uma instalação. Nós as citamos porque a diferença diz algo sobre atenção, não porque 388.419 pessoas estejam rodando um agente no notebook.

Aqui está o ponto, e marcamos a virada com clareza: tudo acima é medição; o que vem a seguir é nossa leitura. Esta versão merece um artigo porque, até agora, a história da IA de código aberto foi quase inteiramente uma história sobre pesos. Laboratórios publicavam modelos; tudo o que decidia o que esses modelos podiam fazer — ler seu e-mail, clicar num botão, mandar mensagem para seu irmão — continuava dentro do produto fechado de alguém. Uma versão de 933 pessoas na camada do arcabouço é a primeira prova forte de que a camada de agentes está seguindo a de modelos rumo ao aberto, e está fazendo isso mais rápido do que a camada de modelos fez.

Por que o projeto rápido deliberadamente deixou de ser rápido

O intervalo de sete semanas é o fato mais citável desta versão e o menos discutido.

A explicação do time é incomumente direta. No artigo de lançamento eles escrevem que a cadência desacelerou enquanto o desenvolvimento acelerava: «nosso time estava crescendo, e o aumento de volume e ritmo do trabalho ultrapassou tanto a fundação do OpenClaw quanto o processo que usávamos para lançar, então refizemos os dois ao mesmo tempo». As semanas extras foram gastas para que a versão sobrevivesse ao contato com as instalações existentes, não só com as novas.

Leia isso ao lado das 106 versões em 230 dias e você obtém o retrato de uma transição bem específica. Lançar a cada dois dias é o que um projeto faz quando o custo de uma versão ruim é baixo, porque a configuração de quase ninguém ainda é estrutural. Parar 49 dias para escrever um caminho de migração é o que um projeto faz quando isso deixa de ser verdade.

Nós chamaríamos isso de virada de infraestrutura: o momento em que uma ferramenta que corria acumula usuários reais suficientes para que «correr» e «não quebrar aquilo de que as pessoas dependem» deixem de ser compatíveis, e o projeto precise escolher. O OpenClaw escolheu, publicamente, e as notas de versão trazem os recibos — um aviso de armazenamento e downgrade no topo da seção de instalação, um procedimento de backup documentado e migrações openclaw doctor --fix para dois subsistemas distintos.

Uma pequena evidência de que o processo ainda está correndo atrás: as notas de versão abrem com um aviso de que um pacote publicado como 2026.9.1-beta.1 teve a versão atribuída errado e na verdade é 2026.8.1-beta.4, e não deve ser interpretado como mais novo que a estável 2026.8.1. Um erro de versionamento sério o bastante para exigir um banner é exatamente o tipo de coisa que a virada de infraestrutura deveria eliminar. Ainda não eliminou.

«A IA que é sua» começa na tela de configuração, e isso não é pouco

A expressão «a IA que é sua» é usada com folga. Nesta versão ela tem um sentido específico e verificável: a primeira coisa que o instalador faz é procurar o acesso a IA que você já tem, em vez de pedir que você compre mais.

A configuração guiada aceita quatro fontes na mesma execução:

1. Um login de CLI existente e verificado — Codex, ChatGPT ou Claude. Se você já paga uma assinatura de consumidor, o agente pode usá-la.
2. Uma chave de API colada, para quem prefere medir o consumo diretamente.
3. Um login novo com um provedor, para quem não tem nenhum dos dois. Configurações novas da OpenAI usam GPT-5.6 por padrão.
4. Modelos instalados localmente — a configuração varre a máquina em busca de instalações de Ollama e LM Studio já presentes.

E então dá o passo que a maioria dos fluxos de onboarding pula: prova que o modelo escolhido consegue mesmo responder antes de salvar esse modelo e essa credencial. Quem já passou vinte minutos descobrindo que uma chave de API salva estava limitada ao projeto errado vai reconhecer o valor dessa checagem.

O caminho local também recebeu trabalho estrutural. node-llama-cpp foi substituído por um llama-server gerenciado, Gemma 4 virou o padrão do llama.cpp conforme a RAM disponível, e a janela de contexto padrão do llama.cpp subiu para 64K. Guarde esse último número: 64K tokens de contexto local padrão equivalem mais ou menos a uma transcrição de reunião de 90 minutos, em hardware que é seu, sem conta por token.

As quatro fontes aceitas pela configuração guiada e o portão de verificação. Fonte: notas de versão v2026.8.1, 31 de agosto de 2026.

Agora contraste esse formato com os ecossistemas de assistentes fechados que a maioria das pessoas de fato usa, porque o contraste é o argumento.

Comparação estrutural, não de qualidade. Produtos fechados costumam ser mais bem acabados; a coluna que importa aqui é a última linha.

Essa última linha é toda a tese. Na coluna fechada, o modelo, a interface, o armazenamento e a política de extensões vêm empacotados numa única decisão que você toma uma vez e não consegue desempacotar. Na coluna aberta são quatro decisões separadas. Nada nisso garante um produto melhor — garante um modo de falha diferente. Quando um assistente fechado aumenta o preço ou tira uma função, você não tem jogada. Quando o modelo do seu próprio agente fica caro, você muda uma configuração.

«Mensageiro primeiro» é uma aposta de design, não uma conveniência

A maioria dos produtos de IA se instala num app novo e torce para você visitar. A aposta central do OpenClaw, desde suas primeiras versões, é o contrário: o agente mora nos aplicativos de mensagens que você já deixa abertos.

Esta versão aprofundou bastante essa direção. O Telegram ganhou mensagens e mídia mais ricas. O Slack agora mantém o progresso ao vivo e a resposta final juntos. O Discord adicionou Activities opcionais e salas de voz que sabem quem está presente. Respostas no Signal preservam o bloco de citação nativo em entrega comum, fragmentada, com mídia e durável, e mensagens recebidas pouco antes de uma queda podem ser retomadas do armazenamento local. Nos canais suportados, perguntas de escolha única elegíveis aparecem como controles nativos da plataforma no Telegram, no Discord e no Slack, em vez de «responda 1, 2 ou 3».

Sob o polimento há uma história de confiabilidade que consideramos a mudança mais significativa. Quando um envio expira sem resultado confirmado, o OpenClaw agora mantém esse resultado marcado como incerto e pode avisar no próximo contato em vez de criar uma mensagem provavelmente duplicada. Quem já construiu integrações de mensageria sabe quanto trabalho sem glamour está por trás dessa frase, e quão ruim é a alternativa: um agente que manda a mesma coisa duas vezes para sua colega porque um socket soluçou.

A ilustração que o próprio time dá é propositalmente pouco impressionante, e é justamente por isso que funciona. Do artigo de lançamento: deixe o agente vigiar sua caixa de entrada em busca dos e-mails da escola dos seus filhos e mandar uma mensagem no Telegram quando chegar algo importante — dever com prazo, uma atividade a preparar. Uma caixa, algumas coisas a procurar, um destino. O segundo exemplo vai um passo além: seu irmão manda um iMessage perguntando qual iPad você comprou para o pai de vocês e, em vez de vasculhar o e-mail atrás do recibo, você diz ao seu Claw que seu irmão escreveu e pede que ele ache a resposta e envie.

Nenhum dos dois exemplos envolve um benchmark. Os dois envolvem um agente segurando uma credencial que você deu, lendo algo que é seu e escrevendo para uma pessoa que você escolheu. Essa é a categoria de produto real, e está mais perto de «um script com memória e número de telefone» do que de «um chatbot».

IA multiplayer: o difícil nunca foi a tela, foi o contexto

A principal função de colaboração da 2.0 são as sessões em nuvem compartilhadas, e o time admite com franqueza que elas nasceram da própria dor. Construindo esta versão, eles jogaram mais trabalho nos próprios agentes, e então quiseram dividir tarefas, colaborar e às vezes repassar tudo — e descobriram que «o OpenClaw não tinha como trazer outro membro do time para dentro do trabalho sem perder o que o Claw já sabia».

Essa frase nomeia um problema muito maior que o OpenClaw. Vamos chamá-lo de o penhasco da passagem de bastão: o ponto em que o trabalho vai de uma pessoa para outra e tudo o que a ferramenta havia acumulado — os falsos começos, as correções, aquilo que você mandou não fazer duas vezes — cai no vazio. O substituto é um resumo, e um resumo não é contexto. É um artefato comprimido que preserva as conclusões e descarta o raciocínio que as tornava seguras.

As sessões em nuvem compartilhadas atacam isso de frente. Uma segunda pessoa pode entrar no trabalho em andamento ou assumi-lo por completo com o contexto intacto, e o dono ou um administrador escolhe qual dos quatro níveis essa pessoa recebe: ler, sugerir alterações, trabalhar num rascunho ou participar diretamente. Rascunhos podem ser criados e publicados sem condição de corrida, sugestões preservam seu autor, e indicadores leves de presença e digitação mostram quem está ali sem entulhar uma configuração de uma pessoa só.

O criador Peter Steinberger escreveu no X na madrugada de 31 de agosto de 2026 que o time passou dois meses na missão de «construir o OpenClaw com o OpenClaw», saindo dos arcabouços de programação locais individuais para um ambiente de agentes compartilhado em team.openclaw.ai. «Programar em multiplayer + computação infinita com nós e sessões em nuvem mudou o jogo no jeito como construímos», escreveu, acrescentando que os arcabouços locais agora «parecem relíquias do passado». É um fundador descrevendo o próprio produto, então pese na medida certa — mas a versão existe, e foi construída assim.

O penhasco da passagem de bastão e o que as sessões compartilhadas mudam. O limite documentado está de propósito dentro do diagrama.

Agora o limite honesto, que a documentação enuncia com clareza e que a maior parte da cobertura enterrou: estes níveis de permissão não são isolamento entre inquilinos nem uma fronteira de segurança. Um acesso revogado pode parecer brevemente disponível até a interface atualizar ou o gateway recusar a ação. O modo anônimo é mais estreito do que o nome sugere: a conversa vive na memória do processo e some quando o gateway reinicia, mas o provedor do modelo continua recebendo cada mensagem, as ferramentas continuam podendo escrever arquivos e alcançar serviços externos, metadados de auditoria sem conteúdo permanecem, e quem opera o gateway pode assistir ao trabalho ao vivo. A Help Net Security acrescentou um detalhe que vale conhecer antes de implantar isso numa máquina compartilhada: a inicialização mais rápida depende de um instantâneo limitado da transcrição, guardado sem criptografia no perfil do navegador.

O app de navegador saiu de acessório para o lugar onde você realmente trabalha

A Control UI reconstruída absorveu a maior parte da engenharia visível e traz o único número de desempenho limpo desta versão.

Num teste simulado de chat padrão contra um gateway mockado com 50 ms de latência HTTP/1.1, as requisições JavaScript caíram de 140 para 45 e a inicialização de cerca de 1,6 segundo para 575 milissegundos — 64 % menos requisições e uma melhora de 2,8 vezes no tempo até o chat. Ela também degrada menos ao longo de uma sessão longa: painéis ocultos param de buscar dados que não exibem, o estado retido é limitado, e voltar a uma conversa repete menos renderização.

Ao redor do chat, painéis encaixados abrigam agora um editor de arquivos do workspace, um painel Changes apoiado em Git mostrando commits da branch, alterações da árvore de trabalho, status de pull requests e resumos de CI, um painel de navegador capaz de navegar, clicar, digitar, rolar, inspecionar elementos e anotar uma captura de tela antes de anexá-la à conversa, e um terminal web em tela cheia. Pedidos de aprovação aparecem dentro da conversa que os disparou, com histórico móvel de 30 dias, e o comando /btw abre uma conversa lateral para que uma pergunta rápida não polua a transcrição principal.

As notas de versão são refrescantemente diretas sobre onde esses painéis param: o editor de arquivos não pode criar nem apagar arquivos, o painel Changes é somente leitura, e «Create PR» repassa para o GitHub em vez de submeter dentro do OpenClaw. Já lemos muitas notas de versão que teriam descrito essas três limitações como «focadas» ou «enxutas». Enunciá-las como limites é a escolha certa e um pequeno depósito de credibilidade.

As sessões foram para o SQLite, e é ali que moram as quebras

Esta é a seção para ler antes de digitar openclaw update.

Sessões e transcrições não são mais baseadas em arquivos: moram no SQLite. O mesmo vale para uma longa lista de outras coisas antes espalhadas: identidade do host de nó e configurações do gateway, registros de APNs, estado de configuração do workspace, estado de execução dos canais, credenciais OAuth do MCP e estado de refresh, confiança entre pares do Reef, e armazenamento BLOB limitado para plugins confiáveis. O orçamento de disco padrão do arquivo de sessões subiu para 10 GiB. Na web, no macOS, no iOS e no Android, chats apoiados em SQLite agora podem retroceder até uma mensagem anterior do usuário, bifurcar a conversa e alternar entre ramos preservados — mas retroceder muda apenas o ramo da transcrição e não desfaz arquivos, mensagens enviadas ou outros efeitos colaterais das ferramentas.

O custo é que o downgrade deixou de ser de graça. Este é o procedimento que as notas de versão especificam, em ordem:

1. Crie um backup verificado antes de atualizar, usando o caminho de backup documentado, para proteger todo o estado do OpenClaw — não apenas as sessões.
2. Atualize com openclaw update, que detecta seu tipo de instalação (npm, pnpm, Bun ou git), busca a versão, roda openclaw doctor e reinicia um serviço de gateway gerenciado. Use --dry-run primeiro para pré-visualizar.
3. Se você usa memória QMD, rode openclaw doctor --fix. A Memory embutida agora é dona do caminho central de busca e recuperação; a migração leva os dados suportados para outro núcleo, e o reordenamento próprio do QMD, a expansão de consultas e a busca de transcrições entre agentes são aposentados.
4. Se você usa HEARTBEAT.md, rode openclaw doctor --fix. Os agendamentos de heartbeat agora são gerenciados como Automations, e o OpenClaw não lê mais HEARTBEAT.md em tempo de execução.
5. Se algum dia precisar reverter, use a CLI atual para restaurar os artefatos de transcrição legados arquivados antes de instalar uma versão anterior baseada em arquivos. Sessões criadas depois da migração não aparecerão de jeito nenhum em versões antigas.

Autores de plugins têm a própria lista. Os caminhos de SDK aposentados de julho e agosto foram removidos, o alias deactivate foi substituído por gateway_stop, e clientes que usam as formas beta v2026.7.2 de question, worker ou session-catalog precisam migrar para os contratos renomeados e achatados. A ponte de session store da beta.5 continua disponível até 12 de outubro de 2026 — uma janela de descontinuação real e datada, mais cortesia do que a maioria dos projetos velozes concede. Comandos, argumentos, ambientes, aliases e parsers personalizados de agents.defaults.cliBackends agora pertencem a um plugin de backend em vez da configuração. E worktrees gerenciados agora suprimem os hooks Git do repositório a menos que um administrador rode deliberadamente um script de configuração separado, então qualquer repositório que dependia de hooks implícitos precisa mover essa configuração para o caminho explícito.

Nada disso é catastrófico. Tudo isso é do tipo que transforma uma atualização de dois minutos numa noite de duas horas se você descobrir depois.

A segurança melhorou bastante e continua não estando ligada por padrão

Esta é a parte em que o entusiasmo precisa de disciplina, porque um agente que pode ler seu e-mail e executar comandos é um objeto de risco diferente de um chatbot.

As melhorias genuínas são reais e específicas. Um novo Secret Store local com escopo de equipe separa valores protegidos de valores de ambiente legíveis pelo agente, com suporte a pedidos de credenciais mascarados, referências do Vault ou do 1Password e substituição vinculada ao destino, capaz de colocar uma credencial protegida numa requisição HTTPS aprovada e hospedada pelo gateway sem que ela apareça em configuração em texto puro ou em texto visível ao modelo. Pedidos de credenciais privadas permitem que um agente solicite um segredo por um prompt mascarado sem que o valor entre no histórico do chat nem no contexto do modelo. A política de rede agora bloqueia por padrão alvos NAT64 não especificados e de uso local, e exige uma exceção de host exata para destinos de webhook de automação privados. O texto devolvido por busca, fetch, MCP, plugins e a ferramenta de navegador é limitado, normalizado e explicitamente marcado como conteúdo externo não confiável antes de o modelo vê-lo. Saídas de terminal e CSV neutralizam as formas cobertas de injeção de sequência de controle e de fórmula. O gateway se liga ao loopback por padrão, a maioria dos canais de chat responde a um remetente de mensagem direta desconhecido com um código de pareamento, e existe agora um comando openclaw security audit que verifica acesso de entrada, raio de alcance das ferramentas, exposição de rede, exposição do controle do navegador e listas de plugins permitidos.

Agora as ressalvas, todas vindas da documentação do próprio projeto e não de um crítico.

Os valores do Secret Store não são criptografados em repouso. Eles dependem das permissões de sistema de arquivos do diretório de estado do OpenClaw. A substituição vinculada ao destino só se aplica a comandos HTTPS hospedados pelo gateway cujo subprocesso respeite as configurações de proxy — sockets crus, contêineres, nós remotos, arcabouços nativos de provedores e HTTP em texto puro ficam de fora.

Marcar conteúdo como não confiável não o torna inofensivo. As notas de versão dizem isso diretamente: a fronteira é tornada explícita, mas «o modelo ainda pode ser influenciado por material hostil que ele lê».

Sandbox e aprovações de execução vêm desligados. A leitura mais afiada da postura corporativa é a do VentureBeat: a configuração base do OpenClaw pressupõe um operador único confiável e permite execução no host enquanto administradores não configurarem restrições mais fortes, e é por isso que existem alternativas container-first como o NanoClaw. A conclusão deles merece ser citada literalmente: «as empresas precisam transformar essas primitivas em política. O OpenClaw 2.0 não torna automaticamente o OpenClaw pronto para a empresa, mas torna uma implantação de OpenClaw de nível corporativo muito mais fácil de saída».

Sobre injeção de prompt especificamente, a documentação do próprio OpenClaw trata a escolha do modelo como primeira mitigação e cita uma arena colaborativa de 2026 com 272.000 ataques em 41 cenários de agentes, pontuados apenas quando o agente executava a ação nociva e a escondia do usuário: 0,5 % de sucesso contra o Claude Opus 4.5, 1,0 % contra o Sonnet 4.5, 1,3 % contra o Haiku 4.5 e 8,5 % contra o Gemini 2.5 Pro. A mesma página adverte que atacantes humanos adaptativos ainda superam 80 % de sucesso contra as melhores defesas conhecidas, e é por isso que política de ferramentas, aprovações de execução e sandbox continuam sendo a camada dura de imposição, não o modelo.

Coloque esses dois números lado a lado e você tem o estado honesto da segurança de agentes em 2026: injeção automatizada em escala já é um problema abaixo de 2 % contra um bom modelo, e um humano determinado continua sendo um problema de 80 % contra tudo. Nada nesta versão muda o segundo número.

Compilado das notas de versão v2026.8.1 e da documentação de segurança do OpenClaw, consultadas em 1º de setembro de 2026.

O que realmente muda para quem não é desenvolvedor

Tire os contratos de plugins e a migração para SQLite e sobra uma coisa que importa para usuários comuns: o atrito de instalação caiu bastante. Se você quiser percorrer esse caminho por conta própria, escrevemos um guia de instalação passo a passo para iniciantes que cobre todo o trajeto, do download até a primeira conversa.

O caminho de instalação suportado agora mantém o app ou o comando disponível depois da configuração. Um app de Mac aberto a partir da pasta Downloads pode se oferecer para mover a si mesmo para Aplicativos, onde atualizações e início ao fazer login funcionam direito. No Linux e em outros sistemas Unix, o instalador deixa openclaw disponível em novas sessões de terminal sem pedir a ninguém que edite um arquivo de inicialização do shell. iPhone, iPad e Android colocam pareamento e permissões onde as pessoas esperam. E agora existe um companion de desktop para Linux com configuração no primeiro uso, controles de bandeja e serviço, Control UI embutida, deep links, início automático e alertas nativos — embora as próprias notas de versão sinalizem que a disponibilidade dos pacotes .deb e AppImage como downloads da v2026.8.1 «ainda não foi verificada».

As Automations receberam o mesmo tratamento. O watcher IMAP incluído permite que um e-mail novo e autenticado vindo de uma caixa existente inicie um agente leitor restrito sem expor um hook HTTP — vem desativado, é somente de entrada, exige lista de remetentes permitidos e autenticação, e não pode enviar nem alterar e-mails. Ou seja, o exemplo dos e-mails da escola do artigo de lançamento, entregue como uma primitiva limitada de menor privilégio em vez de um botão «conecte seu Gmail». Automações do Gmail agora podem dividir um lote aceito em uma execução isolada por mensagem e filtrar itens enviados e rascunhos.

Ainda assim não vamos fingir que isto é um produto de consumo. Um dos próprios mantenedores do OpenClaw foi citado dizendo que, se você não entende como rodar uma linha de comando, o projeto é perigoso demais para usar com segurança, e em março de 2026 autoridades chinesas restringiram estatais e órgãos de governo de rodar aplicativos do OpenClaw em computadores de trabalho por preocupações de segurança. Esses fatos estão registrados e esta versão não os apaga. O que ela faz é levantar o piso: a distância entre «pessoa curiosa» e «agente funcionando» agora se mede numa configuração guiada em vez de num arquivo de configuração.

Quatro coisas que não conseguimos verificar

A afirmação de que a versão «toca todas as partes do OpenClaw» é o enquadramento do próprio time e, embora as notas de versão de fato abranjam instalação, mensageria, memória, skills, modelos, automações, apps de navegador e nativos, plugins e segurança, não temos nenhuma auditoria independente do número de 16.000 PRs nem da contagem de 933 colaboradores. Ambos vêm do projeto.

As fontes divergem sobre a data de lançamento. A infobox da Wikipédia registra a 2.0 estável em 30 de agosto de 2026, o MarkTechPost publicou sua cobertura datada de 30 de agosto, e o objeto de release do GitHub para a tag v2026.8.1 registra carimbo de publicação de 31 de agosto de 2026 às 03:30 UTC. Usamos 31 de agosto em todo o texto porque é o artefato de primeira mão; se você vir 30 de agosto em outro lugar, é essa a divergência.

O campo de licença é inconsistente. A Wikipédia lista o OpenClaw como licenciado sob MIT; a API do GitHub devolve NOASSERTION para a licença do repositório, que é o que o GitHub informa quando seu detector não consegue classificar o arquivo. Não resolvemos qual é a autoritativa e não construiríamos uma decisão de conformidade sobre nenhuma das duas sem ler o arquivo de licença diretamente.

A descrição que Steinberger faz do fluxo de trabalho interno — «computação infinita», arcabouços locais como «relíquias do passado» — é a de um fundador falando do próprio produto na própria timeline, publicada em 31 de agosto de 2026. Nós a citamos porque ela explica a origem do recurso, não porque seja uma avaliação.

Conclusão: a IA de código aberto deixou de ser uma história sobre pesos

Por dois anos, «IA aberta» significou um arquivo que você podia baixar. A pergunta interessante sempre esteve um andar acima: se a parte que segura suas credenciais, lê sua caixa de entrada e decide o que fazer em seguida também viraria algo que você pode inspecionar, bifurcar e rodar sozinho — ou se ficaria dentro do produto de alguém, onde a escolha do modelo, a interface e o armazenamento vêm empacotados numa única decisão de pegar ou largar.

Uma versão com 933 colaboradores, um assistente de configuração que lê suas assinaturas existentes, um caminho de modelo local com 64K de contexto padrão e um procedimento de downgrade documentado é a cara da resposta quando ela pende para o outro lado. Não é uma resposta polida. O sandbox está desligado, os segredos não são criptografados em repouso, compartilhar explicitamente não é uma fronteira de segurança, e um atacante determinado ainda vence quatro em cada cinco vezes. Mas essas são agora limitações publicadas, com números de issue anexados, o que é uma situação categoricamente diferente de não saber.

O penhasco da passagem de bastão é o que observaríamos a seguir. Sessões em nuvem compartilhadas são a primeira tentativa séria que vimos de fazer o contexto acumulado de um agente sobreviver a uma troca de operador, e o fato de um projeto de código aberto com 933 pessoas ter chegado a esse problema antes da maioria dos assistentes fechados diz onde está a fronteira de verdade. Não está na capacidade. Está na continuidade.

---

Onde entra o Telli.sh: o penhasco da passagem de bastão não é exclusivo de agentes — é o problema mais antigo das reuniões. A hora de contexto que existia na sala evapora, e o que chega a quem faltou é um resumo que preservou as conclusões e perdeu o raciocínio. O Telli.sh grava a reunião, separa os falantes, traduz ao vivo em 15 idiomas e deixa uma transcrição pesquisável e notas estruturadas, para que a passagem de bastão leve o registro real em vez da memória comprimida de alguém.

Começar uma nota de IA ao vivo

Fontes

• Notas de versão do OpenClaw, v2026.8.1 (também chamada OpenClaw 2.0) — o aviso sobre a beta 2026.9.1-beta.1 publicada por engano, o alerta de armazenamento SQLite e downgrade, a configuração guiada, os números de latência da Control UI, o comportamento do Secret Store, as mudanças de mensageria, a limpeza dos contratos do SDK de plugins e a janela de ponte até 12 de outubro de 2026; consultadas em 1º de setembro de 2026
• Blog do OpenClaw, «OpenClaw 2.0, Accidentally», 31 de agosto de 2026 — 933 colaboradores, 569 de primeira contribuição, mais de 16.000 pull requests, 106 versões em 230 dias, o número de cerca de 50 % das PRs de todos os tempos, e os exemplos do e-mail da escola e do recibo do iPad
• MarkTechPost, «OpenClaw Releases OpenClaw 2.0», 30 de agosto de 2026 — a inicialização de 575 ms e os números de 140→45 requisições, as fontes de configuração Codex/ChatGPT/Claude/Ollama/LM Studio, GPT-5.6 como padrão, Gemma 4 e o contexto de 64K do llama.cpp, e os resultados da arena de injeção de prompt com 272.000 ataques
• Help Net Security, «The OpenClaw 2.0 release moves your sessions into SQLite», 31 de agosto de 2026 — o enquadramento de que compartilhar não é fronteira de segurança, o alcance real do modo anônimo, e o instantâneo de transcrição não criptografado no perfil do navegador
• Cybersecurity News, «OpenClaw 2.0 Released With Major Security Upgrades for AI Agents, Plugins and Credentials», 31 de agosto de 2026 — os pedidos de credenciais privadas por prompt mascarado, o proxy opcional que restringe destinos, e o cofre de credenciais compartilhado para equipes
• VentureBeat, «OpenClaw 2.0 is here: What it means for enterprises», 1º de setembro de 2026 — sandbox e aprovações de execução desligados por padrão, a comparação com o NanoClaw, a superfície de auditoria ampliada, e a conclusão de «transformar primitivas em política»; inclui a publicação de Steinberger no X de 31 de agosto de 2026
• Documentação do OpenClaw, Cloud Sessions — como uma sessão compartilhada preserva transcrição e contexto através de uma passagem de bastão
• Documentação do OpenClaw, Updating — o comportamento do openclaw update, a flag --dry-run, os canais de versão, e o caminho de downgrade através da migração de sessões para SQLite
• API REST do GitHub, openclaw/openclaw — 388.419 estrelas, 81.534 forks, 5.949 issues abertas, repositório criado em 24 de novembro de 2025, e o carimbo da versão v2026.8.1 em 31 de agosto de 2026 às 03:30 UTC; consultada em 1º de setembro de 2026
• Wikipédia, «OpenClaw» — o histórico de nomes Warelay → CLAWDIS → Clawdbot → Moltbot → OpenClaw, a reclamação de marca da Anthropic, os números de estrelas e forks em 2 de março de 2026, o alerta de um mantenedor sobre a linha de comando, e as restrições do governo chinês de março de 2026; consultada em 1º de setembro de 2026
• Nosso texto sobre o modelo furtivo Ox Alpha e o GLM-5.3-Flash — o colapso de preços dos pesos abertos sobre o qual esta versão se apoia
• Nosso antes e depois sobre a volta dos modelos locais — os números do 27B de pesos abertos e o atraso de recuperação