邮件「验证通过」不等于身份可信：给 Agent 的 DMARC 对齐课

Spacesh1psoda · reddit · 2026-11-13

作者提醒：给 AI agent 交代「已验证的发件人」时，很多人误解了验证的含义。SPF/DKIM 签名通过只证明「某个域名签了这封信」，不代表签名的域名就是发件人声称的域名——攻击者可以用自己的域名签名，并在 From 行填你 CEO 的地址，签名校验依然通过。真正关键的检查是「对齐」（alignment），即签名域名与声称域名一致，这正是 DMARC 的职责。结论：让 agent 信任的「verified」必须是「验证为声称的身份」，而不是「验证有签名」。