核心用法
read-no-evil-mcp 是一款专注于邮件安全防护的 MCP（Model Context Protocol）工具，主要面向使用 AI 助手处理邮件的用户。该工具通过本地部署的 ProtectAI DeBERTa 模型，在邮件内容呈现给 AI 前自动扫描 prompt injection 攻击。
主要功能：
- 邮件列表查看（支持时间范围、数量限制筛选）
- 安全邮件阅读（自动扫描后返回内容）
- 邮件发送/删除/移动（需显式开启权限）
- IMAP/SMTP 多账户配置
使用流程：
1. pip 安装后配置 YAML 文件定义账户权限
2. 通过环境变量安全存储密码
3. CLI 命令操作邮件，高危操作受权限系统控制
显著优点
1. 本地化安全扫描：DeBERTa 模型本地推理，邮件数据不出境，满足隐私合规要求
2. 细粒度权限控制：读、写、删、移动四项权限独立开关，默认最小权限原则
3. 显式安全反馈：扫描结果通过退出码（0/2）和分数明确告知，便于自动化处理
4. MCP 标准兼容：遵循 Model Context Protocol，可与 Claude Desktop 等 AI 客户端集成
潜在局限
- 依赖单点模型：仅使用 DeBERTa，对抗新型攻击变体可能滞后
- 无加密传输说明：配置中 SSL/TLS 开关存在，但未详述证书验证机制
- 密码管理薄弱：依赖环境变量明文存储，缺乏密钥管理服务集成
- 误报风险：ML 检测可能将合法邮件标记为可疑（如包含大量代码的邮件）
- 功能边界模糊：MCP 描述称"Use for reading, sending..."，但实际默认仅开启读权限，新手易困惑
适合人群
- 使用 AI 助手处理工作邮件的技术从业者
- 对邮件隐私有要求、不愿使用云端过滤服务的企业用户
- MCP 生态开发者，需要安全的邮件操作工具
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| 凭证泄露 | .env 文件权限不当或提交至版本控制 | 使用 600 权限，配合 gitignore，考虑迁移到系统密钥链 |
| 权限过度授予 | 为便利开启全部权限后遗忘 | 定期审计配置，按需最小化权限 |
| 模型对抗绕过 | 针对 DeBERTa 的对抗样本可能逃逸检测 | 关注项目更新，结合人工复核敏感邮件 |
| SMTP 中间人 | 配置中 smtp_port 587 为明文 TLS 协商端口，配置错误可能导致降级攻击 | 强制验证 TLS 证书，优先使用 465 端口 |
总体评估
该工具填补了 AI 邮件处理场景的安全空白，本地化扫描理念值得肯定。但凭证管理和传输层安全仍有提升空间，建议作为防御纵深的一环而非唯一防线使用。