GigaMail — 为你的 AI 代理打造的邮件服务

MCP 服务器，让 Claude（或任何兼容 MCP 的代理）安全、受控地访问你的电子邮件 — 多账户（Microsoft Graph + IMAP）、日历、本地搜索索引、发件人记忆，以及面向代理的权限模型。

无内置 LLM：智能来自你的代理。MCP 服务器仅通过 stdio 通信 — 不开放网络端口。（可选的人工控制台会添加一个绑定到 127.0.0.1 的本地 HTTP API。）

关于你的数据：GigaMail 将邮件索引、凭据、记忆和配置保存在你的机器上 — 我们不运行任何服务，也不接收任何数据。你的代理读取的邮件内容，当然由该代理及其模型提供商根据他们自己的数据政策处理。请据此选择你的代理；掩码器（即将推出）可让你在代理看到敏感字段之前将其隐藏。

一份真实的草稿：代理从账户的文档中提取数据，挑选要附上的楼层平面图，并从日历中提出可用时段。人工审核后发送 — 或修改指令并重新生成。

为什么

• 混合搜索：提供商搜索（Graph/IMAP）+ 本地 SQLite 索引 — 快速且支持离线

• 发件人记忆：每个发件人的语气、主题和历史，让回复更得体

• 观察者：从用户编辑过往草稿的方式中学习模式

• 知识文件：将你的价目表、条款、产品手册附加到账户 — 代理读取它们来回复邮件。你的代理不需要知道一切：账户自带其知识

• 面向代理的权限：读取免费；发送/删除需要带外给予的批准 — 代理只获得一个惰性请求 ID，人工从控制台或 CLI 批准，然后才执行，使用人工看到的确切参数。每次写入都会记录到仅追加的操作日志中

• 凭据绝不进入代理通道：登录和账户管理仅存在于 CLI 中 — 邮件中的提示注入无法添加账户或读取机密

Related MCP server: MCP Outlook Server

快速开始

pip install "gigamail[all]"

gigamail login                # Microsoft device flow
gigamail accounts add-imap    # or IMAP: Aruba, Gmail, Libero, ...

Microsoft 登录说明：捆绑的 Azure 应用尚未获得发布者验证，因此同意屏幕会显示"未验证"通知（功能正常；某些企业租户可能会阻止）。标准替代方案：注册你自己的 Azure 应用，并在 src/ade_mail_agent/core/ms_config.json 中设置你的 client_id。IMAP 则完全不需要这些。

为账户赋予其身份和知识（这正是让回复像你的原因）：

gigamail identity set                       # who am I, what I do, tone
gigamail identity add-file C:\docs\pricelist.xlsx
gigamail identity add-file C:\docs\catalog\   # whole folder

在 Claude Desktop / Claude Code 中注册（mcpServers）：

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

这些命令也保留其旧名称（ade-mail-agent、ade-mail-agent-server），因此现有安装可以继续使用。

使用 OpenClaw 或 Hermes 而不是 Claude？已验证的配置见 INTEGRATIONS.md。

然后只需告诉你的代理："使用价目表回复最近的报价请求" — 它会读取邮件、从你的文件中提取数据、起草回复，并在发送前征求你的同意。

工具

24 个类型化工具，由服务器自身生成：

• 读取（15 个） — 账户、身份、知识文件、消息、未读、文件夹、混合搜索、附件文本、发件人历史、学习到的模式、日历事件、空闲时段

• 安全写入（3 个，带审计） — 标记已读、移动消息、创建文件夹

• 危险操作（6 个，需人工带外批准） — 发送、回复、删除消息、删除文件夹、创建/删除日历事件

完整映射和设计决策：MAPPA_MCP.md。

安全模型

邮件内容被视为不可信数据（提示注入）。代理无法批准自己的操作，这是构造上保证的：危险工具只返回一个惰性 request_id，批准存在于 MCP 表面之外 — 在控制台中（受其会话令牌保护）或通过 shell 命令。任何机密都不会进入模型上下文，因此注入的指令无物可花。重复该 ID 只会返回等待批准。代理只能读取用户明确注册的文件，绝不能读取文件系统的其余部分。每次写入操作都会记录到 %APPDATA%/ADE/agent_audit.jsonl（仅追加：GigaMail 从不重写过去的条目 — 它不是、也不声称是防篡改存储）。

我们对此进行红队测试：敌对邮件命令外泄、批量删除、让代理自我批准 — 在启用所有邮件工具的真实代理上测试。

这个设计是一次修复。v0.1.0 在工具结果中返回一次性确认令牌，使其进入模型上下文：代理同时持有两半。感谢 r/mcp 上的 u/ranbuman 和 u/anderson_the_one 发现了这个问题。现在开关位于代理无法触及之处。

该套件的结构性部分在每次推送时于 CI 中运行（tests/test_injection.py）；真实代理部分为可选（scripts/injection_e2e.py），并带有 dry-run 保护，因此已确认的操作会被审计但绝不执行。

许可证

AGPL-3.0-or-later。 可自由使用、研究、修改和分享。如果你分发修改版本 — 或将其作为网络服务运行 — 你必须以相同许可证提供其源代码。闭源使用的商业许可证可从版权持有人处获得。

GigaMail — 为你的 AI 代理打造的邮件服务

MCP 服务器，让 Claude（或任何兼容 MCP 的代理）安全、受控地访问你的邮件 — 多账户（Microsoft Graph + IMAP）、日历、本地搜索索引、发件人记忆，以及面向代理的权限模型。

无内置 LLM：智能来自你的代理。MCP 服务器仅通过 stdio 通信 — 不开放网络端口。（可选的人工控制台会添加一个绑定到 127.0.0.1 的本地 HTTP API。）

关于你的数据：GigaMail 将邮件索引、凭据、记忆和配置保存在你的计算机上 — 我们不运行任何服务，也不接收任何数据。你的代理读取的邮件内容，当然由该代理及其模型提供商根据他们自己的数据政策处理。请据此选择你的代理；掩码器（即将推出）可让你在代理看到敏感字段之前将其隐藏。

一份真实的草稿：代理从账户关联的文档中提取数据，挑选要附上的楼层平面图，并从日历中提出可用时段。人工审核后发送 — 或修改指令并重新生成。

为什么

• 混合搜索：提供商（Graph/IMAP）+ 本地 SQLite 索引 — 快速且支持离线

• 发件人记忆：每个发件人的语气、主题和历史，让回复更得体

• 观察者：从用户对过往草稿的修改中学习模式

• 知识文件：将价目表、条款、产品手册附加到账户 — 代理读取它们来回复邮件。你的代理不需要知道一切：所需信息随账户一起携带

• 面向代理的权限：读取免费；发送/删除需要带外给予的批准 — 代理只获得一个惰性 ID，人工从控制台或 CLI 批准，然后才执行，使用人工看到的确切参数。每次写入都会记录到仅追加的日志中

• 凭据位于代理通道之外：登录和账户管理仅通过 CLI — 邮件中的提示注入无法添加账户或读取机密

快速设置

pip install "gigamail[all]"

gigamail login                # device flow Microsoft
gigamail accounts add-imap    # oppure IMAP: Aruba, Gmail, Libero, ...

Microsoft 登录说明：捆绑的 Azure 应用尚未获得发布者验证，因此同意屏幕会显示"未验证"通知（功能正常；某些企业租户可能会阻止）。标准替代方案：注册你自己的 Azure 应用，并在 src/ade_mail_agent/core/ms_config.json 中设置你的 client_id。IMAP 则完全不需要这些。

为账户赋予其身份和知识（这正是让回复像你的原因）：

gigamail identity set                       # chi sono, cosa faccio, tono
gigamail identity add-file C:\docs\listino.xlsx
gigamail identity add-file C:\docs\catalogo\   # intera cartella

在 Claude Desktop / Claude Code 中注册（mcpServers）：

{
  "gigamail": {
    "command": "gigamail-server"
  }
}

这些命令也保留其旧名称（ade-mail-agent、ade-mail-agent-server），因此现有安装可以继续使用。

使用 OpenClaw 或 Hermes 而不是 Claude？已验证的配置见 INTEGRATIONS.md。

然后只需告诉你的代理："使用价目表回复最近的报价请求" — 它会读取邮件、从你的文件中提取数据、起草回复，并在发送前征求你的同意。

工具

24 个类型化工具，由服务器自身生成：

• 读取（15 个） — 账户、身份、知识文件、消息、未读、文件夹、混合搜索、附件文本、发件人历史、学习到的模式、日历事件、空闲时段

• 安全写入（3 个，带审计） — 标记已读、移动消息、创建文件夹

• 危险操作（6 个，需人工带外批准） — 发送、回复、删除消息、删除文件夹、创建/删除日历事件

完整映射和设计决策：MAPPA_MCP.md。

安全模型

邮件内容被视为不可信数据（提示注入）。代理无法批准自己的操作，这是构造上保证的：危险工具只返回一个惰性 request_id，批准存在于 MCP 表面之外 — 在控制台中（受其会话令牌保护）或通过 shell 命令。任何机密都不会进入模型上下文，因此注入的指令无物可花。重复该 ID 只会返回等待批准。代理只能读取用户明确注册的文件，绝不能读取文件系统的其余部分。每次写入操作都会记录到 %APPDATA%/ADE/agent_audit.jsonl（仅追加：GigaMail 从不重写过去的条目 — 它不是、也不声称是防篡改存储）。

我们对此进行测试：敌对邮件命令外泄、批量删除、让代理自我批准 — 在启用所有工具的真实代理上测试。

这个设计是一次修复。v0.1.0 在工具结果中返回一次性确认令牌，使其进入模型上下文：代理同时持有两半。感谢 r/mcp 上的 u/ranbuman 和 u/anderson_the_one 发现了这个问题。现在开关位于代理无法触及之处。

该套件的结构性部分在每次推送时于 CI 中运行（tests/test_injection.py）；真实代理部分为可选（scripts/injection_e2e.py），并使用 dry-run 模式，因此已确认的操作会进入审计但绝不执行。

许可证

AGPL-3.0-or-later。 可自由使用、研究、修改和分享。如果你分发修改版本 — 或将其作为网络服务运行 — 你必须以相同许可证提供其源代码。闭源使用的商业许可证可从版权持有人处获得。