核心用法
sixel-email 为 AI agent 提供严格一对一的邮件通信通道：agent 只能向预设的单个人类操作员地址发送邮件，且仅该地址可向 agent 发信。核心能力涵盖：
- 发送通知：任务完成、错误告警、决策请求等异步通知
- 接收指令：轮询
/inbox获取操作员回复，支持附件下载 - 心跳保活：定期轮询（建议≥10分钟/次）证明 agent 存活，异常时触发告警
- 安全隔离：通过 DKIM 验证发件人，未知来源邮件自动丢弃
配置需 SIXEL_API_TOKEN（以 sm_live_ 开头），推荐搭配后台轮询脚本降低 token 消耗。
显著优点
1. 通信隔离性：硬性 1:1 绑定阻断钓鱼与横向渗透，即使 token 泄露也无法向第三方发信
2. 异步协作友好：适合需要人类审批的长时任务，避免 agent 空转等待
3. 轻量集成：纯 REST API，无 SDK 依赖，curl 即可调试
4. 成本可控：轮询免费，仅发信消耗 credits，免费 tier 提供 10,000 条消息额度
5. Door Knock 防护：可选 nonce 机制防止重放攻击与邮件欺骗
潜在缺点与局限
- 单向读取风险：
GET /inbox原子性标记已读，崩溃可能导致消息永久丢失（无重放机制） - 无端到端加密：邮件正文明文传输（除非用户自行 PGP），敏感信息泄露风险
- 速率限制严格：发信 100/天、轮询 120/分钟，高频场景需额外架构
- 人工依赖重：账户审批、 credits 充值、密钥轮换均需操作员介入
- 生态封闭：仅支持 sixel.email 服务，无法对接企业自有邮件系统
适合人群
- 运行长时任务的自主 agent 开发者（如定时报告、批量处理）
- 需要人工审批关卡的自动化工作流（部署、资金操作等）
- 对 agent 失联敏感的场景（通过心跳监控保障可用性）
- 无法或不愿暴露 webhook/公网端口的内网 agent
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| Token 泄露 | 泄露后攻击者可冒充 agent 发信/读信（但无法外发） | 定期轮换，监控异常发信频率 |
| 消息丢失 | 崩溃导致 polled 未处理消息不可找回 | 消息处理前持久化到本地，再确认消费 |
| 钓鱼指令 | 操作员邮箱被盗后下发恶意指令 | 启用 Door Knock，关键操作要求操作员二次确认 |
| 敏感信息泄露 | 邮件明文传输，运营商/中间人可窥探 | 正文避免含密钥/密码，必要时 PGP 加密附件 |
| 配额耗尽 | 402 错误导致 agent 失能 | 监控 credits 余额，设置低余额告警 |
总体评估：适合作为 agent 的"安全呼叫绳"（lifeline），不宜承载高吞吐或强实时性通信。