核心用法
该 Skill 提供了一套系统化的邮件安全分析框架，用于判断邮件重要性并识别潜在钓鱼/社会工程攻击。核心工作流程采用"标题优先→技术验证→内容分析"的三层递进策略：
1. 标题/主题初筛（低成本快速过滤）：仅使用主题行和发件人显示信息（视为弱信号）进行快速分类。识别明显的欺骗信号（如品牌名+免费邮箱、仿冒域名、可疑子域名等）直接标记为"Likely scam"；触发资金/账户/安全/ urgency 关键词的则进入技术验证。
2. 技术验证（深度检测）：对通过初筛的邮件，检查原始邮件头的 SPF/DKIM/DMARC 认证结果、域名对齐性、From/Reply-To 不匹配、真实链接目标及危险附件类型。
3. 内容与行动分析：提取邮件声称的事实、要求的行动、涉及的账户/资金、提供的证据；根据行动类型（账户访问、资金转移、权限变更、软件执行、数据披露）判定重要性等级。
4. 风险模式识别：识别 urgency/威胁、secrecy/绕过流程、信息不匹配、异常请求（OTP/礼品卡/远程访问）、链接/附件压力等红旗信号。
5. 安全验证建议：即使技术验证通过，对敏感操作仍推荐带外验证（官方入口直接登录、已知联系人核实），而非信任邮件内链接。
显著优点
- 防御深度设计：不依赖易被 spoof 的发件人显示信息，从技术底层（邮件头认证）到内容语义多层验证
- 系统化决策树：提供清晰的 escalate/fast-drop 规则，减少主观判断
- 实用的快速启发式：预置了中文语境下的关键词库（扣款、圈存、驗證、異常登入等）
- 安全意识内化：输出模板强制要求提供"安全验证路径"和"do/don't"建议，培养用户安全习惯
- 零执行风险：纯 Markdown 文档型 Skill，无代码执行、无网络调用、无外部依赖
潜在缺点与局限性
- 依赖原始邮件头访问：技术验证阶段需要 "Show original" 或
gmail get等工具获取完整邮件头；若无法获取，技术 verdict 降级为 Unknown，增加误报/漏报风险 - 多语言覆盖不均衡：关键词库虽包含中文，但对其他语言（日语、韩语、欧洲小语种）的钓鱼模式识别可能不足
- 无法替代专业安全工具：属于辅助分析框架，不具备实时威胁情报 feed、附件沙箱分析、URL 信誉查询等专业安全产品能力
- 用户执行门槛：完整的七步流程需要用户具备一定的技术理解（能阅读邮件头、理解 SPF/DKIM/DMARC），普通用户可能难以严格执行
- 上下文依赖：Skill 本身不存储历史邮件上下文，每次分析为独立会话，难以建立发件人长期信誉档案
适合的目标群体
- 企业安全团队/IT 管理员：用于制定邮件安全 SOP、培训员工识别钓鱼
- 高价值个人用户（高管、财务人员、加密货币持有者）：日常处理大量敏感邮件，需要系统化优先级判断
- 安全研究人员/白帽：分析钓鱼样本时的结构化检查清单
- 客服/运营团队：处理用户举报的可疑邮件，需要标准化分类输出
使用风险
- 分析延迟风险：完整执行七步流程耗时较长，在真正紧急的合法邮件场景下可能影响响应速度
- 过度谨慎风险：严格的技术验证可能将部分配置不规范的合法发件人（SPF/DKIM 配置错误的中小企业）误判为高风险
- 输入敏感信息风险：用户向 Skill 提供邮件内容分析时，可能不慎粘贴包含真实敏感信息的完整邮件头（含内部邮件路由、用户代理字符串等元数据）
- 技能边界误解：用户可能将该 Skill 视为"绝对安全保证"，忽视其建议的带外验证步骤，或用于替代企业级邮件安全网关
- 版本维护风险：钓鱼技术持续演进（如利用合法云服务子域名、AI 生成逼真内容），静态规则库需要持续更新