给 AI agent 配邮箱的 8 条实践:防 prompt 注入与误发事故
Spacesh1psoda · reddit · 2026-11-04
做 AI agent 邮件基础设施的团队总结了一套让 agent 安全收发邮件的完整方案,背景是两起真实事故:有人机械批准第 30 次审批后把带死链的发布邮件发给全列表;支持 agent 误读模板变量差点向 400 个客户群发道歉信。攻击面则如 Supabase MCP 泄漏事件——支持工单诱导 Cursor agent 读取令牌表回传内容,而邮件让任何网民都能向你的 agent 投喂文本。
8 条实践(兼容现有邮件服务商):
- 不给 agent 用你的邮箱:每个 agent/角色独立地址,注入时损失被隔离
- 用子域名发送(agents.yourcompany.com),避免垃圾投诉伤害主域名信誉
- 发送前配置 SPF/DKIM/DMARC:Gmail、Yahoo 自 2024 年、Outlook 自 2025 年对批量发送者强制要求;DMARC 从 p=none 起步观察报告再收紧
- 用 Message-ID/In-Reply-To/References 头关联线程,不要靠主题行匹配
- 核实回复真实来源:From 只是文本,路由进客户线程前先验证 DKIM 通过且域名匹配,防冒充
- 把每封来信当不可信输入:进 agent 前扫描,可疑邮件转人工;读写权限分离
- 只审批发给新联系人的首封邮件:已有线程内的回复自动发出,大部分损害来自新收件人
- 硬限制写在代码里而非 prompt:不可移除的抑制名单、发送冷却、去重键防超时重试重复发送
「编程与Agent」频道最新
- 一张图看懂 LLM 技术栈：从数据获取到应用层共 7 层 — nevrekaraishwa2 · 2026-11-05
- YC F26 项目 Phone Harness 开源：让 AI Agent 直接操控真手机 — ycombinator · 2026-11-05
- vibe coding 隐忧：很多人生成了产品，却说不清它好在哪 — rms80 · 2026-11-05
- 追踪 147 个 AI 助手后，a16z 播客称「信任」是重度用户头号恐惧 — a16z · 2026-11-05
- 非程序员用 Claude 建成 agent 商店,真金白银完成自动购买 — Apprehensive_Big5042 · 2026-11-05
- Google Cloud 发布五条准则：先评估 agent skill 值不值它的 token 开销 — rseroter · 2026-11-05