GigaMail — AI 에이전트를 위한 메일

Claude(또는 MCP 호환 에이전트)에게 이메일에 대한 안전하고 통제된 액세스를 제공하는 MCP 서버 — 멀티 계정(Microsoft Graph + IMAP), 캘린더, 로컬 검색 인덱스, 발신자 메모리, 에이전트 인식 권한 모델을 갖췄습니다.

내장 LLM 없음: 지능은 에이전트의 몫입니다. MCP 서버는 stdio만 사용합니다 — 네트워크 포트가 없습니다. (선택적 휴먼 콘솔은 127.0.0.1에 바인딩된 로컬 HTTP API를 추가합니다.)

데이터에 관하여: GigaMail은 메일 인덱스, 자격 증명, 메모리 및 구성을 사용자 머신에 보관합니다 — 저희는 서비스를 운영하지 않으며 아무것도 수신하지 않습니다. 에이전트가 읽는 메일 콘텐츠는 물론 해당 에이전트와 해당 모델 제공업체의 데이터 정책에 따라 처리됩니다. 이에 따라 에이전트를 선택하세요; 마스커(출시 예정)를 사용하면 에이전트가 보기 전에 민감한 필드를 숨길 수 있습니다.

실제 초안: 에이전트가 계정 문서에서 수치를 가져오고, 첨부할 평면도를 선택하고, 캘린더에서 시간을 제안했습니다. 사람이 검토하고 전송하거나 — 지시를 수정하고 다시 생성합니다.

이유

• 하이브리드 검색: 공급자 검색(Graph/IMAP) + 로컬 SQLite 인덱스 — 빠르고 오프라인 친화적

• 발신자 메모리: 발신자별 어조, 주제, 기록을 파악하여 자연스러운 답장 가능

• 관찰자: 사용자가 과거 초안을 수정한 방식에서 학습한 패턴

• 지식 파일: 가격표, 약관, 제품 시트를 계정에 연결 — 에이전트가 메일에 답장하기 위해 이를 읽습니다. 에이전트가 모든 것을 알 필요는 없습니다: 계정이 자체 지식을 수반합니다

• 에이전트 인식 권한: 읽기는 자유롭고, 보내기/삭제는 대역 외 승인이 필요합니다 — 에이전트는 비활성 요청 ID만 받고, 사람이 콘솔이나 CLI에서 승인한 후에만 정확한 인수로 실행됩니다. 모든 쓰기는 추가 전용 작업 로그에 기록됩니다

• 자격 증명은 에이전트 채널에 노출되지 않음: 로그인 및 계정 관리는 CLI에서만 가능 — 이메일 내 프롬프트 인젝션으로 계정을 추가하거나 비밀을 읽을 수 없습니다

Related MCP server: MCP Outlook Server

빠른 시작

pip install "gigamail[all]"

gigamail login                # Microsoft device flow
gigamail accounts add-imap    # or IMAP: Aruba, Gmail, Libero, ...

Microsoft 로그인 참고: 번들된 Azure 앱은 아직 게시자 확인을 받지 않아 동의 화면에 "확인되지 않음" 공지가 표시됩니다(정상 작동하며 일부 기업 테넌트에서는 차단될 수 있음). 표준 대안: 자체 Azure 앱을 등록하고 src/ade_mail_agent/core/ms_config.json에 client_id를 설정하세요. IMAP에는 이 모든 것이 필요 없습니다.

계정에 ID와 지식을 부여하세요(이것이 답장을 당신의 것으로 만듭니다):

gigamail identity set                       # who am I, what I do, tone
gigamail identity add-file C:\docs\pricelist.xlsx
gigamail identity add-file C:\docs\catalog\   # whole folder

Claude Desktop / Claude Code에 등록(mcpServers):

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

명령어는 레거시 이름(ade-mail-agent, ade-mail-agent-server)으로도 계속 사용할 수 있어 기존 설정이 그대로 작동합니다.

OpenClaw 또는 Hermes를 사용하시나요? INTEGRATIONS.md에서 검증된 구성을 확인하세요.

그런 다음 에이전트에게 물어보세요: "가격표를 사용해 마지막 견적 요청에 답장해 줘" — 메일을 읽고, 파일에서 수치를 가져오고, 답장을 작성하고, 보내기 전에 확인을 요청합니다.

도구

서버 자체에서 생성된 24개의 타입이 지정된 도구:

• 읽기(15) — 계정, ID, 지식 파일, 메시지, 안 읽음, 폴더, 하이브리드 검색, 첨부 파일 텍스트, 발신자 기록, 학습된 패턴, 캘린더 이벤트, 빈 시간

• 안전한 쓰기(3, 감사됨) — 읽음 표시, 메시지 이동, 폴더 생성

• 위험(6, 대역 외 인간 승인) — 보내기, 답장, 메시지 삭제, 폴더 삭제, 캘린더 이벤트 생성/삭제

전체 맵 및 설계 결정: MAPPA_MCP.md.

보안 모델

이메일 콘텐츠는 신뢰할 수 없는 데이터(프롬프트 인젝션)로 취급됩니다. 에이전트는 구조적으로 자신의 작업을 승인할 수 없습니다: 위험한 도구는 비활성 request_id만 반환하며, 승인은 MCP 표면 외부(세션 토큰 뒤의 콘솔 또는 셸 명령)에 있습니다. 비밀은 모델 컨텍스트에 절대 들어가지 않으므로 주입된 지시가 사용할 수 있는 것이 없습니다. ID를 반복해도 승인 대기 중만 반환됩니다. 에이전트는 사용자가 명시적으로 등록한 파일만 읽을 수 있으며 나머지 파일 시스템은 절대 읽을 수 없습니다. 모든 쓰기 작업은 %APPDATA%/ADE/agent_audit.jsonl에 기록됩니다(추가 전용: GigaMail은 과거 항목을 다시 쓰지 않습니다 — 변조 방지 저장소가 아니며, 그렇게 주장하지도 않습니다).

우리는 이에 대한 레드팀 테스트를 수행합니다: 모든 메일 도구가 활성화된 실제 에이전트에 유출, 대량 삭제, 에이전트 스스로 승인을 지시하는 적대적 이메일을 주입합니다.

이 설계는 수정 사항입니다. v0.1.0은 도구 결과에 일회용 확인 토큰을 반환하여 모델의 컨텍스트에 노출되었습니다: 에이전트가 양쪽 절반을 모두 보유했습니다. 이를 발견해 주신 r/mcp의 u/ranbuman 및 u/anderson_the_one 님께 감사드립니다. 이제 스위치는 에이전트가 도달할 수 없는 곳에 있습니다.

해당 스위트의 구조적 절반은 모든 푸시 시 CI에서 실행되며(tests/test_injection.py), 실제 에이전트 절반은 옵트인(scripts/injection_e2e.py)이며 드라이런 가드로 실행되어 확인된 작업이 감사되지만 실행되지는 않습니다.

라이선스

AGPL-3.0-or-later. 자유롭게 사용, 연구, 수정 및 공유할 수 있습니다. 수정된 버전을 배포하거나 네트워크 서비스로 실행하는 경우 동일한 라이선스로 소스를 공개해야 합니다. 폐쇄 소스 사용을 위한 상업용 라이선스는 저작권 보유자에게 문의하세요.

GigaMail — AI 에이전트를 위한 메일

Claude(또는 호환 에이전트)에게 이메일에 대한 안전하고 통제된 액세스를 제공하는 MCP 서버 — 멀티 계정(Microsoft Graph + IMAP), 캘린더, 로컬 검색 인덱스, 발신자 메모리, 에이전트를 위한 권한 모델.

내장 LLM 없음: 지능은 에이전트의 몫입니다. MCP 서버는 stdio만 사용합니다 — 네트워크 포트가 없습니다. (선택적 휴먼 콘솔은 127.0.0.1에 로컬 HTTP API를 추가합니다.)

데이터에 관하여: GigaMail은 메일 인덱스, 자격 증명, 메모리 및 구성을 사용자 컴퓨터에 보관합니다 — 저희는 서비스를 운영하지 않으며 아무것도 수신하지 않습니다. 에이전트가 읽는 메일 콘텐츠는 물론 해당 에이전트와 해당 모델 제공업체의 정책에 따라 처리됩니다. 이에 따라 에이전트를 선택하세요; 마스커(출시 예정)를 사용하면 에이전트가 보기 전에 민감한 데이터를 숨길 수 있습니다.

실제 초안: 에이전트가 계정에 연결된 문서에서 수치를 가져오고, 첨부할 평면도를 선택하고, 캘린더에서 빈 시간을 제안했습니다. 사람이 검토하고 전송하거나 — 지시를 수정하고 다시 생성합니다.

이유

• 하이브리드 검색: 공급자(Graph/IMAP) + 로컬 SQLite 인덱스 — 빠르고 오프라인 친화적

• 발신자 메모리: 올바른 답변을 위한 발신자별 어조, 주제, 기록

• 관찰자: 사용자가 과거 초안을 수정한 방식에서 학습한 패턴

• 지식 파일: 가격표, 약관, 제품 시트를 계정에 연결 — 에이전트가 메일에 답장하기 위해 이를 읽습니다. 에이전트가 모든 것을 알 필요는 없습니다: 필요한 정보는 계정과 함께 제공됩니다

• 에이전트 권한: 읽기는 자유롭고, 보내기/삭제는 대역 외 승인이 필요합니다 — 에이전트는 비활성 ID만 받고, 사람이 콘솔이나 CLI에서 승인한 후에만 정확한 인수로 실행됩니다. 모든 쓰기는 추가 전용 로그에 기록됩니다

• 자격 증명은 에이전트 채널 외부: 로그인 및 계정 관리는 CLI에서만 가능 — 이메일 내 프롬프트 인젝션으로 계정을 추가하거나 비밀을 읽을 수 없습니다

빠른 설정

pip install "gigamail[all]"

gigamail login                # device flow Microsoft
gigamail accounts add-imap    # oppure IMAP: Aruba, Gmail, Libero, ...

Microsoft 로그인 참고: 번들된 Azure 앱은 아직 게시자 확인을 받지 않아 동의 화면에 "확인되지 않음" 공지가 표시됩니다(정상 작동하며 일부 기업 테넌트에서는 차단될 수 있음). 표준 대안: 자체 Azure 앱을 등록하고 src/ade_mail_agent/core/ms_config.json에 client_id를 설정하세요. IMAP에는 이 모든 것이 필요 없습니다.

계정에 ID와 지식을 부여하세요(이것이 답장을 당신의 것으로 만듭니다):

gigamail identity set                       # chi sono, cosa faccio, tono
gigamail identity add-file C:\docs\listino.xlsx
gigamail identity add-file C:\docs\catalogo\   # intera cartella

Claude Desktop / Claude Code에 등록(mcpServers):

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

명령어는 레거시 이름(ade-mail-agent, ade-mail-agent-server)으로도 계속 사용할 수 있어 기존 설치가 그대로 작동합니다.

OpenClaw 또는 Hermes를 사용하시나요? INTEGRATIONS.md에서 검증된 구성을 확인하세요.

그런 다음 에이전트에게 물어보세요: "가격표를 사용해 마지막 견적 요청에 답장해 줘" — 메일을 읽고, 파일에서 수치를 가져오고, 답장을 준비하고, 보내기 전에 확인을 요청합니다.

도구

서버 자체에서 생성된 24개의 타입이 지정된 도구:

• 읽기(15) — 계정, ID, 지식 파일, 메시지, 안 읽음, 폴더, 하이브리드 검색, 첨부 파일 텍스트, 발신자 기록, 학습된 패턴, 캘린더 이벤트, 빈 시간

• 안전한 쓰기(3, 감사됨) — 읽음 표시, 이동, 폴더 생성

• 위험(6, 대역 외 인간 승인) — 보내기, 답장, 메시지 삭제, 폴더 삭제, 이벤트 생성/삭제

전체 맵 및 설계 결정: MAPPA_MCP.md.

보안 모델

이메일 콘텐츠는 신뢰할 수 없는 데이터(프롬프트 인젝션)로 취급됩니다. 에이전트는 구조적으로 자신의 작업을 승인할 수 없습니다: 위험한 도구는 비활성 request_id만 반환하며, 승인은 MCP 표면 외부(세션 토큰 뒤의 콘솔 또는 셸 명령)에 있습니다. 비밀은 모델 컨텍스트에 절대 들어가지 않으므로 주입된 지시가 사용할 수 있는 것이 없습니다. ID를 반복해도 승인 대기 중만 반환됩니다. 에이전트는 사용자가 명시적으로 등록한 파일만 읽을 수 있으며 나머지 파일 시스템은 절대 읽을 수 없습니다. 모든 쓰기 작업은 %APPDATA%/ADE/agent_audit.jsonl에 기록됩니다(추가 전용: GigaMail은 과거 항목을 다시 쓰지 않습니다 — 변조 방지 저장소가 아니며, 그렇게 주장하지도 않습니다).

우리는 이에 대한 레드팀 테스트를 수행합니다: 모든 메일 도구가 활성화된 실제 에이전트에 유출, 대량 삭제, 에이전트 스스로 승인을 지시하는 적대적 이메일을 주입합니다.

이 설계는 수정 사항입니다. v0.1.0은 도구 결과에 일회용 확인 토큰을 반환하여 모델의 컨텍스트에 노출되었습니다: 에이전트가 양쪽 절반을 모두 보유했습니다. 이를 발견해 주신 r/mcp의 u/ranbuman 및 u/anderson_the_one 님께 감사드립니다. 이제 스위치는 에이전트가 도달할 수 없는 곳에 있습니다.

해당 스위트의 구조적 절반은 모든 푸시 시 CI에서 실행되며(tests/test_injection.py), 실제 에이전트 절반은 옵트인(scripts/injection_e2e.py)이며 드라이런 가드로 실행되어 확인된 작업이 감사되지만 실행되지는 않습니다.

라이선스

AGPL-3.0-or-later. 자유롭게 사용, 연구, 수정 및 공유할 수 있습니다. 수정된 버전을 배포하거나 네트워크 서비스로 실행하는 경우 동일한 라이선스로 소스를 공개해야 합니다. 폐쇄 소스 사용을 위한 상업용 라이선스는 저작권 보유자에게 문의하세요.