GigaMail — Correo para tu agente de IA

Servidor MCP que le da a Claude (o a cualquier agente compatible con MCP) un acceso seguro y controlado a tu correo electrónico — multicuenta (Microsoft Graph + IMAP), calendario, índice de búsqueda local, memoria de remitentes y un modelo de permisos pensado para agentes.

Sin LLM integrado: la inteligencia es la de tu agente. El servidor MCP solo habla por stdio, sin puerto de red. (Una consola humana opcional añade una API HTTP local vinculada a 127.0.0.1).

Sobre tus datos: GigaMail mantiene los índices de correo, las credenciales, la memoria y la configuración en tu máquina — no ejecutamos ningún servicio ni recibimos nada. El contenido del correo que lee tu agente es gestionado, por supuesto, por ese agente y su proveedor de modelo según sus propias políticas de datos. Elige a tu agente en consecuencia; el enmascarador (próximamente) te permite ocultar los campos confidenciales antes de que el agente los vea.

Un borrador real: el agente extrajo las cifras de los documentos de la cuenta, eligió los planos que adjuntar y propuso horarios del calendario. El humano revisa y envía — o edita la instrucción y regenera.

Por qué

• Búsqueda híbrida: búsqueda del proveedor (Graph/IMAP) + índice SQLite local — rápida y apta para modo sin conexión

• Memoria del remitente: tono, temas e historial por remitente, para que las respuestas suenen bien

• Observador: patrones aprendidos de cómo el usuario editó borradores anteriores

• Archivos de conocimiento: adjunta tus listas de precios, condiciones y fichas de producto a una cuenta — el agente los lee para responder al correo. Tu agente no necesita saberlo todo: la cuenta lleva su propio conocimiento

• Permisos conscientes del agente: las lecturas son gratuitas; enviar/eliminar requieren una aprobación dada fuera de banda — el agente recibe un id de solicitud inerte, un humano aprueba desde la consola o la CLI, y solo entonces se ejecuta, con los argumentos exactos que vio el humano. Cada escritura se registra en un registro de acciones de solo añadidura

• Las credenciales nunca tocan el canal del agente: el inicio de sesión y la gestión de cuentas viven solo en la CLI — una inyección de instrucciones dentro de un correo electrónico no puede añadir cuentas ni leer secretos

Related MCP server: MCP Outlook Server

Inicio rápido

pip install "gigamail[all]"

gigamail login                # Microsoft device flow
gigamail accounts add-imap    # or IMAP: Aruba, Gmail, Libero, ...

Nota sobre el inicio de sesión de Microsoft: la aplicación de Azure incluida aún no está verificada por el editor, por lo que la pantalla de consentimiento muestra un aviso de "no verificada" (funciona bien; algunos inquilinos corporativos pueden bloquearla). Alternativa estándar: registra tu propia aplicación de Azure y configura tu client_id en src/ade_mail_agent/core/ms_config.json. IMAP no necesita nada de esto.

Dale a la cuenta su identidad y conocimiento (esto es lo que hace que las respuestas sean tuyas):

gigamail identity set                       # who am I, what I do, tone
gigamail identity add-file C:\docs\pricelist.xlsx
gigamail identity add-file C:\docs\catalog\   # whole folder

Regístrate en Claude Desktop / Claude Code (mcpServers):

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

Los comandos también están disponibles con sus nombres heredados (ade-mail-agent, ade-mail-agent-server), por lo que las configuraciones existentes siguen funcionando.

¿Usas OpenClaw u Hermes en lugar de Claude? Configuraciones verificadas en INTEGRATIONS.md.

Luego solo pídele a tu agente: "responde a la última solicitud de presupuesto usando la lista de precios" — lee el correo, saca los números de tu archivo, redacta la respuesta y te pide confirmación antes de enviar.

Herramientas

24 herramientas tipadas, generadas desde el propio servidor:

• Lectura (15) — cuentas, identidad, archivos de conocimiento, mensajes, no leídos, carpetas, búsqueda híbrida, texto de archivos adjuntos, historial del remitente, patrones aprendidos, eventos de calendario, disponibilidad de huecos

• Escrituras seguras (3, auditadas) — marcar como leído, mover mensaje, crear carpeta

• Peligrosas (6, aprobación humana fuera de banda) — enviar, responder, eliminar mensaje, eliminar carpeta, crear/eliminar evento de calendario

Mapa completo y decisiones de diseño: MAPPA_MCP.md.

Modelo de seguridad

El contenido del correo electrónico se trata como dato no fiable (inyección de instrucciones). El agente no puede aprobar sus propias acciones, por construcción: una herramienta peligrosa devuelve solo un request_id inerte, y la aprobación vive fuera de la superficie MCP — en la consola (detrás de su token de sesión) o en un comando de shell. Ningún secreto entra en el contexto del modelo, por lo que una instrucción inyectada no tiene nada que gastar. Repetir el id solo devuelve en espera de aprobación. El agente solo puede leer archivos registrados explícitamente por el usuario, nunca el resto del sistema de archivos. Cada acción de escritura se registra en %APPDATA%/ADE/agent_audit.jsonl (solo añadidura: GigaMail nunca reescribe entradas pasadas — no es, ni pretende ser, un almacenamiento a prueba de manipulaciones).

Hacemos pruebas de red team: correos hostiles que ordenan exfiltración, eliminación masiva y que el agente se apruebe a sí mismo, alimentados a un agente real con todas las herramientas de correo habilitadas.

Este diseño es una corrección. La v0.1.0 devolvía un token de confirmación de un solo uso en el resultado de la herramienta, lo que lo ponía en el contexto del modelo: el agente tenía ambas mitades. Gracias a u/ranbuman y u/anderson_the_one en r/mcp por detectarlo. El interruptor ahora está donde el agente no puede alcanzarlo.

La mitad estructural de esa suite se ejecuta en CI en cada push (tests/test_injection.py); la mitad del agente real es opcional (scripts/injection_e2e.py) y se ejecuta con una protección de simulación en seco para que las acciones confirmadas se auditen pero nunca se ejecuten.

Licencia

AGPL-3.0-o posterior. Libre de usar, estudiar, modificar y compartir. Si distribuyes una versión modificada — o la ejecutas como servicio de red — debes poner su código fuente a disposición bajo la misma licencia. Las licencias comerciales para uso de código cerrado están disponibles del titular de los derechos de autor.

GigaMail — El correo para tu agente de IA

Servidor MCP que le da a Claude (o a cualquier agente compatible) acceso seguro y controlado a tu correo — multicuenta (Microsoft Graph + IMAP), calendario, índice de búsqueda local, memoria de remitentes y un modelo de permisos pensado para agentes.

Sin LLM interno: la inteligencia es la de tu agente. El servidor MCP solo habla por stdio — ningún puerto de red. (La consola para el humano, que es opcional, añade una API HTTP local en 127.0.0.1).

Sobre tus datos: GigaMail mantiene los índices de correo, las credenciales, la memoria y la configuración en tu ordenador — nosotros no gestionamos ningún servicio ni recibimos nada. El contenido de los correos que lee tu agente es tratado, por supuesto, por ese agente y su proveedor de modelo según sus políticas. Elige a tu agente en consecuencia; el enmascarador (próximamente) permite ocultar los datos sensibles antes de que el agente los vea.

Un borrador real: el agente tomó los datos de los documentos vinculados a la cuenta, eligió los planos que adjuntar y propuso los horarios libres del calendario. El humano revisa y envía — o corrige la instrucción y regenera.

Por qué

• Búsqueda híbrida: proveedor (Graph/IMAP) + índice SQLite local — rápida y apta para modo sin conexión

• Memoria de remitentes: tono, temas e historial para responder de la manera correcta

• Observador: patrones aprendidos de las correcciones del usuario a los borradores anteriores

• Archivos de conocimiento: vincula listas de precios, condiciones, fichas de producto a una cuenta — el agente los lee para responder a los correos. Tu agente no tiene que saberlo todo: la información que necesita viaja con la cuenta

• Permisos para agentes: lectura libre; envío/eliminación requieren una aprobación dada fuera de banda — al agente solo le llega un id inerte, un humano aprueba desde la consola o la CLI, y solo entonces se ejecuta, con los argumentos exactos que el humano vio. Cada escritura termina en un registro de solo añadidura

• Credenciales fuera del canal del agente: inicio de sesión y gestión de cuentas solo por CLI — una inyección de instrucciones dentro de un correo no puede añadir cuentas ni leer secretos

Configuración rápida

pip install "gigamail[all]"

gigamail login                # device flow Microsoft
gigamail accounts add-imap    # oppure IMAP: Aruba, Gmail, Libero, ...

Nota sobre el inicio de sesión de Microsoft: la aplicación de Azure incluida aún no está verificada por el editor, por lo que la pantalla de consentimiento muestra el aviso "no verificada" (funciona de todos modos; algunos inquilinos corporativos podrían bloquearla). Alternativa estándar: registra tu propia aplicación de Azure y pon tu client_id en src/ade_mail_agent/core/ms_config.json. Para IMAP no se necesita nada de esto.

Dale a la cuenta su identidad y su conocimiento (es lo que hace que las respuestas sean tuyas):

gigamail identity set                       # chi sono, cosa faccio, tono
gigamail identity add-file C:\docs\listino.xlsx
gigamail identity add-file C:\docs\catalogo\   # intera cartella

Registro en Claude Desktop / Claude Code (mcpServers):

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

Los comandos siguen estando disponibles con los nombres antiguos (ade-mail-agent, ade-mail-agent-server), para que las instalaciones existentes sigan funcionando.

¿Usas OpenClaw u Hermes en lugar de Claude? Configuraciones verificadas en INTEGRATIONS.md.

Luego pídele a tu agente: "responde a la última solicitud de presupuesto usando la lista de precios" — lee el correo, toma los números de tu archivo, prepara la respuesta y te pide confirmación antes de enviar.

Herramientas

24 herramientas tipadas, generadas desde el propio servidor:

• Lectura (15) — cuentas, identidad, archivos de conocimiento, mensajes, no leídos, carpetas, búsqueda híbrida, texto de los archivos adjuntos, historial de remitentes, patrones aprendidos, eventos de calendario, huecos libres

• Escrituras seguras (3, con auditoría) — marcar como leído, mover, crear carpeta

• Peligrosas (6, aprobación humana fuera de banda) — envío, respuesta, eliminación de mensaje, eliminación de carpeta, creación/eliminación de evento

Mapa completo y decisiones de diseño: MAPPA_MCP.md.

Modelo de seguridad

El contenido de los correos electrónicos se trata como dato no fiable (inyección de instrucciones). El agente no puede aprobar sus propias acciones, por construcción: una herramienta peligrosa devuelve solo un request_id inerte, y la aprobación vive fuera de la superficie MCP — en la consola (detrás de su token de sesión) o en un comando de shell. Ningún secreto entra en el contexto del modelo, por lo que una instrucción inyectada no tiene nada que gastar. Repetir el id solo devuelve en espera de aprobación. El agente solo puede leer los archivos registrados explícitamente por el usuario, nunca el resto del sistema de archivos. Cada acción de escritura termina en %APPDATA%/ADE/agent_audit.jsonl (solo añadidura: GigaMail nunca reescribe las entradas pasadas — no es, ni pretende ser, un archivo a prueba de manipulaciones).

Lo ponemos a prueba: correos hostiles que ordenan exfiltración, eliminación masiva y que el agente se apruebe a sí mismo, dados a un agente real con todas las herramientas activas.

Este diseño es una corrección. La v0.1.0 devolvía un token de confirmación de un solo uso en el resultado de la herramienta, por lo tanto dentro del contexto del modelo: el agente tenía ambas mitades. Gracias a u/ranbuman y u/anderson_the_one en r/mcp por notarlo. Ahora el interruptor está donde el agente no llega.

La mitad estructural de la suite se ejecuta en CI en cada push (tests/test_injection.py); la del agente real es opt-in (scripts/injection_e2e.py) y usa un modo de simulación en seco, para que las acciones confirmadas terminen en la auditoría pero nunca se ejecuten.

Licencia

AGPL-3.0-o posterior. Libre de usarlo, estudiarlo, modificarlo y compartirlo. Si distribuyes una versión modificada — o la ofreces como servicio en red — debes poner el código fuente a disposición con la misma licencia. Las licencias comerciales para usos de código cerrado están disponibles del titular de los derechos de autor.