iris

Ein Microsoft 365-Mailserver für KI-Agenten, die keine E-Mail senden können.

Nicht „will nicht“. Kann nicht. iris fordert den delegierten Graph-Bereich Mail.ReadWrite an und niemals Mail.Send. Das Zugriffstoken, das es hält, hat keine Fähigkeit, eine Nachricht zu übertragen, also kann keine Aufforderung, kein Jailbreak und kein Fehler in diesem Code eine Nachricht versenden. Es schreibt Entwürfe in einen Ordner in Ihrem Postfach. Sie öffnen Outlook und drücken Senden.

Das ist das gesamte Design. Alles andere ist Detail.

Warum diese Form

Die übliche Sorge, einem Agenten Zugriff auf Ihr Postfach zu geben, ist, dass er etwas sendet, das Sie nicht genehmigt haben – an die falsche Person, mit dem falschen Ton, oder weil jemand ihn dazu überredet hat. Die übliche Antwort ist eine Bestätigungsabfrage, die eine Leitplanke ist: Code, der um Erlaubnis bittet, und Code kann umgangen werden.

iris entfernt stattdessen die Fähigkeit. Microsoft Graph wird einen Sendeversuch mit diesem Token ablehnen, weil der von Ihnen genehmigte Zustimmungsbildschirm diese Berechtigung nie enthalten hat. Die Sicherheitsgrenze liegt bei Microsoft, nicht bei diesem Programm, und sie gilt auch dann, wenn dieses Programm falsch liegt.

Der Kompromiss ist real: Ein Mensch ist bei jeder Nachricht im Prozess, konstruktionsbedingt. Wenn Sie autonomes Senden möchten, ist iris das falsche Werkzeug.

Related MCP server: mcp-outlook-mail

Installation

uvx iris-mcp        # run without installing
pip install iris-mcp

Python 3.10+.

Einrichtung

Sie müssen Ihre eigene Entra-Anwendung registrieren. Es gibt keine gemeinsame App-Registrierung und keinen gehosteten Dienst – iris kommuniziert direkt von Ihrem Rechner mit Ihrem Mandanten. Das ist beabsichtigt: Eine gemeinsame App würde bedeuten, der Client-ID einer anderen Person mit Zugriff auf Ihre E-Mails zu vertrauen.

1. Entra Admin Center → App-Registrierungen → Neue Registrierung. Ein einzelner Mandant ist in Ordnung. Keine Redirect-URI erforderlich.

2. Authentifizierung → Einstellungen → Öffentliche Clientflüsse zulassen aktivieren. Die Gerätecode-Anmeldung benötigt dies. Es wird nirgends ein Clientgeheimnis verwendet.

3. API-Berechtigungen → Microsoft Graph → Delegiert → Mail.ReadWrite hinzufügen. Fügen Sie nichts anderes hinzu. Fügen Sie Mail.Send nicht hinzu – wenn es vorhanden ist, ist die obige Garantie ungültig.

4. Kopieren Sie die Anwendungs- (Client-) ID und die Verzeichnis- (Mandanten-) ID. Keine davon ist ein Geheimnis.

Fügen Sie dann iris zu Ihrem MCP-Client hinzu:

{
  "mcpServers": {
    "iris": {
      "command": "uvx",
      "args": ["iris-mcp"],
      "env": {
        "IRIS_CLIENT_ID": "<application client id>",
        "IRIS_TENANT_ID": "<directory tenant id>"
      }
    }
  }
}

Melden Sie sich einmal an: Rufen Sie iris_login auf, öffnen Sie die URL, geben Sie den Code ein, und rufen Sie dann iris_login_finish auf. Der Token-Cache wird neben dem Server geschrieben, Modus 600.

Werkzeuge

Wohin Entwürfe gehen

In einen dedizierten Postfachordner der obersten Ebene, standardmäßig AI Drafts (IRIS_DRAFT_FOLDER). Er wird bei der ersten Verwendung erstellt. Setzen Sie die Variable auf eine leere Zeichenfolge, um stattdessen den normalen Entwürfe-Ordner zu verwenden.

Dies sind echte Entwürfe und Outlook sendet sie normal – aber weil sie in einem eigenen Ordner liegen, erscheinen sie nicht in der Entwürfe-Ansicht. Das ist der Punkt: Von Agenten geschriebene E-Mails liegen an einem Ort, an dem Sie hingehen und nachsehen müssen, statt mit Ihren eigenen halbfertigen Nachrichten vermischt zu sein.

Eine erwähnenswerte Besonderheit: createReply von Graph legt eine Antwort immer zuerst in Entwürfe ab, also verschiebt iris sie danach, und eine Verschiebung weist eine neue Nachrichten-ID zu.

Weitere Steuerungen

• Empfänger-Whitelist – recipients.allow, eine Adresse oder Domäne pro Zeile. Fehlt oder leer bedeutet, dass alle Empfänger erlaubt sind. Weisen Sie IRIS_ALLOWLIST anderswo zu, wenn Sie das bevorzugen.

• Kill-Schalter – erstellen Sie eine DISABLED-Datei neben dem Server oder setzen Sie IRIS_DISABLED=1, und jedes Werkzeug verweigert die Arbeit.

• Audit-Log – jeder Aufruf wird an audit.log angehängt (IRIS_AUDIT_LOG).

Grenzen

Keine Anhänge. Keine freigegebenen oder delegierten Postfächer – nur /me. Keine Ordner-Verschachtelung über parentFolderId. Die Anmeldung erfolgt als delegierter Gerätecode als öffentlicher Client, sodass der Schadensradius genau ein Postfach ist: Ihres.

Sicherheit

Die Kein-Senden-Garantie, wie Sie sie selbst überprüfen können, und – genauso wichtig – was iris mit Mail.ReadWrite erreichen kann: siehe SECURITY.md.

Lizenz

MIT – siehe LICENSE.