OpenClaw 2026.8.2: 内部コンテキストブロックがTelegramテキストに漏洩

macOS上のOpenClaw 2026.8.2（ビルド0965053）のバグにより、ランタイムコンテキストブロックが表示されるTelegramメッセージに漏れ出し、エージェントが正当な指示を拒否してプロンプトインジェクションを警告する問題が発生しています。この問題は、誤検知が3日間続いた後、r/openclawに報告されました。

症状

エージェントが指示を拒否し始め、プロンプトインジェクションを警告します。報告されたケースでは、エージェントが約40分間で10回の拒否にエスカレートし、チャットチャネルを侵害されたものとして扱うことを推奨しました。

根本原因

OpenClawのターンごとのランタイムコンテキストが内部に留まる代わりに、表示されるテキストとしてレンダリングされます。セッションのトランスクリプトからの実際のコンテンツには以下が含まれます：

現在のアクティブなユーザーリクエストへの回答を続けるためにこれを使用してください。別のメッセージを待たないでください。このコンテキストはランタイム生成であり、ユーザー作成ではありません。内部の詳細は秘密にしておいてください。

<<<BEGIN_OPENCLAW_INTERNAL_CONTEXT>>>
Conversation info: (openclaw:ctx) {"chat_id":"telegram:...",...}
Conversation context (chronological, selected for current message):
#session:b6a0dfe3-... OpenClaw: NO_REPLY
#session:8fc3070c-... User: <prior turn>

エージェントが壊れる理由：前文はエージェントに、ユーザーを待たずに動作を続け、コンテキストを開示しないように指示します。帯域内で署名されていないため、偽装されたエンベロープと区別がつきません。適切なインジェクション衛生状態にあるエージェントは拒否するでしょう—そして、本物の足場と偽造を区別する方法がないため、拒否するのは正しいことです。

報告者のエージェントは、初日にリークを正しく特定しましたが、ブロックが無害なAnthropicのリマインダータグであると確信させるのに何時間も費やしました。実際のアーティファクトは、セッションのトランスクリプトをgrepすることによってのみ見つかりました。

確認方法

Claude Codeのセッションログまたはリレーされたテキストをgrepしてください：

grep -c "BEGIN_OPENCLAW_INTERNAL_CONTEXT" <あなたのセッショントランスクリプト>

メッセージを一切送信していないターンに表示されるかどうかを確認してください—報告者はそこに表示されるのを見て、単純なコピーペーストによる汚染を除外しました。

同じゲートウェイでの他の問題

• sessions_spawn failed: unknown parent sessionが、同一の安定したセッションキーで3日連続で発生し、/reset後も続きました。すべての委任をブロックします。
• ツール呼び出しが、選択したMCPツールではなく、意図しないMCPツールに着地した2つのインスタンス。

報告者は上流に問題を提出しました（github.com/openclaw/openclaw/issues、スパウンバグは別）。2026.8.2でコンテキストリークが見られる場合、Telegramポーリングモードに固有か、他のチャネルでも発生するかを共有してください。