GigaMail 三补丁堵 MCP 外部 Agent 的邮件注入泄露缺口
Soft-Lie-434 · reddit · 2026-10-26
GigaMail 开发者分享了对 MCP 场景下邮件安全的新思考:此前已修复应用内的确认 token 泄露和重复审批竞态,但发现当 GigaMail 作为 MCP 服务器被外部 Agent(如 Hermes、OpenClaw 或 API 后面的 Agent)调用时,邮件内容会到达一个还握有 shell、文件、网络等工具的 Agent,风险更大。为此提交了三个 PR:
- #26(已合并):可执行附件(程序、安装包、脚本、磁盘镜像等)永不通过 MCP 交给 Agent,替换为含文件名、大小和 SHA-256 的说明,只有控制台点击或系统生物识别确认才能取回
- #27(开放中):Agent 只能看到 HTML 邮件的可见文本,CSS 隐藏内容(display:none、零透明度、同色文字)和不可见 Unicode 一律剔除;HTML 无法完整求值时直接扣留正文
- #28(开放中):发往 Telegram 的审批草稿一律禁用链接预览,防止「把 attacker.example/?d=<数据> 填进回复」这类隐藏指令借 Telegram 抓取首个链接在审批前泄密(与 EchoLeak 同型攻击)
作者同时向社区征询是否还有遗漏的攻击面,是 prompt injection 防御在 MCP 场景下的实战复盘。
「编程与Agent」频道最新
- 设计师用 Claude+Cursor 自制 AI 设计 skill，两月产出大量落地页 — moeinteractive · 2026-10-26
- RExBench：最强编程智能体自主完成研究扩展成功率仅33% — najoungkim · 2026-10-26
- Remotion 官方发布 Agent Skills:十大技能教 AI 写视频代码 — lmoroney · 2026-10-26
- 用 Claude+Remotion 写代码做动态视频:每帧可编辑 — lmoroney · 2026-10-26
- Ruff 作者:等数据与用户访谈暴露问题时,口碑早已受损 — charliermarsh · 2026-10-26
- Ezn 推出 Agent 消费权限层:AI 花钱前先问你 — Scobleizer · 2026-10-26