OpenClaw v2026.9.4：更新翻车？现在能自己救了
更新一个天天用的工具，最怕的不是「更新失败」，而是卡在中间——新版本没上去，旧版本也回不来，配置还乱了。OpenClaw v2026.9.4 把这个场景当成头号改进。这版一共合入了 1,174 个 PR，排在第一位的就是「从兼容的失败更新中恢复」。
回滚具体做了什么
当一次更新失败，且失败原因不属于数据库结构变更时，新版本会保留上一个版本的软件包，在校验通过后把配置和服务一起恢复到更新前的状态，然后再验证旧版网关能不能正常起来。
有几个边界：
数据库结构变了，不自动回滚。涉及迁移的更新，必须先准备一份经过验证的备份。
操作者改过配置，会阻止回滚。更新前后手动动过配置，系统不会盲目回滚。
回滚了的更新，仍然算一次失败的更新，会记录下这次结果，不会假装什么都没发生。
这个分寸感是：优先恢复服务，但不动数据库，也不掩盖失败记录。
插件终于在一个地方管了
排第二的改进是把插件集中管理。以前找插件、装插件、配插件散在几个入口，这版把它们收进一个统一的 Plugins 工作区：可以发现内置插件和 ClawHub 上的插件，可以从控制台直接安装，设置、权限、访问都在一个地方。插件页还支持短地址，比如 /reports 这种；也能用一个搜索框同时搜已安装的插件和技能。
云端会话：预先准备好的工作机
一个偏底层但影响账单的功能：符合条件的 Linux 会话，可以直接基于准备好的本地项目或公开 GitHub 仓库启动，不用每次重复搭环境。还能在控制台里提前生成可复用的快照。
有个注意事项：这些待命工作机会一直产生云厂商的机器费用，直到你把它删掉。默认每个项目或配置保 1 台，全网关最多 4 台。想关掉，把 cloudWorkers.profiles..readyWorkers 或 cloudWorkers.preparedPool.maxTotal 设成 0。
其他几个值得注意的改进
终端里能答题了。 网关连接和本地 TUI 会话里都支持键盘选择、自由文本回答、多问题提示。用方向键或数字选，也能选「其他」再自己输入。
GPT Image 2.5。 图像生成和编辑新增了 Flare 和 Sunburst 两个变体，可以通过 OpenAI 或 fal 选用，不影响现有的默认模型。
外部管理的配置。 设 OPENCLAW_CONFIG_READONLY=1，就能阻止 OpenClaw 改写由部署系统管理的配置，同时保留只读诊断。注意它只锁配置，不锁运行状态。
对话历史更可靠了。 中断的流能恢复最终回复，超时提示在重载后还在，实时聊天切到保存的历史时不会重复冒出最终答案。
Deepgram 语音转写。 语音备忘录可以用 flux-general-en 或 flux-general-multi 转写，这两个模型需要 ffmpeg。
v2026.9.4 不是一个把功能堆到眼花缭乱的版本。它的重心在「抗风险」：更新能回滚、插件集中管、对话记录不丢、配置能被外部系统锁住。
更新说明里也如实列出了几处未完成项，比如 Android 原生包的验证失败、部分发布选择器还在同步。把没做好的地方也写出来的，通常比只报喜的更值得信任。