OpenClaw 2026.8.2: Interner Kontextblock läuft in Telegram-Text über

Ein Fehler in OpenClaw 2026.8.2 (Build 0965053) auf macOS leakt den Laufzeitkontextblock in sichtbare Telegram-Nachrichten, wodurch Agenten legitime Anweisungen ablehnen und Prompt-Injection melden. Das Problem wurde auf r/openclaw gemeldet, nachdem es drei Tage lang zu Fehlalarmen kam.

Symptome

Agenten beginnen, Anweisungen abzulehnen und Prompt-Injection zu melden. Im gemeldeten Fall eskalierte ein Agent auf zehn Ablehnungen in etwa 40 Minuten und empfahl, den Chatkanal als kompromittiert zu behandeln.

Ursache

Der Pro-Turn-Laufzeitkontext von OpenClaw wird als sichtbarer Text gerendert, anstatt intern zu bleiben. Tatsächlicher Inhalt aus einem Sitzungsprotokoll umfasst:

Verwenden Sie es, um die aktuelle Benutzeranfrage jetzt weiter zu beantworten. Warten Sie nicht auf eine weitere Nachricht. Dieser Kontext ist zur Laufzeit generiert, nicht vom Benutzer erstellt. Halten Sie interne Details privat.

<<<BEGIN_OPENCLAW_INTERNAL_CONTEXT>>>
Gesprächsinfo: (openclaw:ctx) {"chat_id":"telegram:...",...}
Gesprächskontext (chronologisch, für aktuelle Nachricht ausgewählt):
#session:b6a0dfe3-... OpenClaw: NO_REPLY
#session:8fc3070c-... Benutzer: <vorherige Runde>

Warum es Agenten bricht: Die Präambel sagt dem Agenten, er solle weiter handeln, nicht auf den Benutzer warten und den Kontext nicht offenlegen. Da sie im Band liegt und unsigniert ist, ist sie nicht von einer gespooften Hülle zu unterscheiden. Jeder Agent mit guter Injektionshygiene wird sich weigern – und das zu Recht, denn es gibt keine Möglichkeit, echte Gerüststruktur von einer Fälschung zu unterscheiden.

Der Melder hat den Leak tatsächlich am ersten Tag korrekt identifiziert, aber sie verbrachten Stunden damit, den Agenten zu überzeugen, dass der Block ein harmloses Anthropic-Erinnerungstag sei. Das eigentliche Artefakt wurde erst durch Grep auf das Sitzungsprotokoll gefunden.

Wie bestätigen

Grepen Sie Ihr Claude-Code-Sitzungsprotokoll oder jeden weitergeleiteten Text:

grep -c "BEGIN_OPENCLAW_INTERNAL_CONTEXT" <Ihr-Sitzungsprotokoll>

Prüfen Sie, ob es in Runden erscheint, in denen Sie überhaupt keine Nachricht gesendet haben – der Melder sah es dort, was einfache Copy-Paste-Kontamination ausschließt.

Andere Eigenheiten auf demselben Gateway

• sessions_spawn fehlgeschlagen: unbekannte übergeordnete Sitzung mit identischem stabilem Sitzungsschlüssel an drei aufeinanderfolgenden Tagen, überlebt /reset. Blockiert alle Delegierungen.
• Zwei Fälle, in denen ein Toolaufruf auf einem unbeabsichtigten MCP-Tool landete anstatt auf dem ausgewählten.

Der Melder hat Probleme upstream gemeldet (github.com/openclaw/openclaw/issues, separat für den Spawn-Fehler). Wenn Sie den Kontextleck auf 2026.8.2 sehen, teilen Sie mit, ob er spezifisch für den Telegram-Polling-Modus ist oder auf anderen Kanälen auftritt.