私の言葉をそのまま信じる必要はありません

1. 要点

このページで他に何も読まないとしても、次の点だけはお読みください。

• メールはリクエストごとにリアルタイムで取得され、レスポンスが送信された時点で破棄されます。エージェントが読み取るメールの複製は保持しません。
• 受信トレイごとに、お客様が次に依頼する呼び出しを実行できるよう、AES-256-GCMで暗号化したアクセストークンまたはアプリ パスワードを保存します。一部の機能は、お客様が使用している間、メッセージのごく一部を保持します。予約送信と保留中の送信、フォローアップとスヌーズ、自動化の実行ログです。それぞれ第2条に記載しています。
• お客様のメールをAIモデルのトレーニングに使用することはなく、当社が選んだモデルにメールを送ることもありません。メールを読むのはお客様のエージェントだけであり、それはお客様の管理下にあります。
• アクセスは、お客様が設定する認証情報によって制限されます。APIキーは、選択した受信トレイのみに制限することも、ワークスペースのすべての受信トレイにアクセスできるようにすることもできます。プロバイダーへのアクセスは、Google、Microsoft、またはご利用のプロバイダーの設定からいつでも取り消せます。
• 本サービスを動かしているコードは公開されています。読むことも、監査することも、全体をセルフホストすることもできます。

2. アクセスするものと保存するもの

アクセスと保存の違いこそが、設計の核心です。エージェントはその場で多くのものをリアルタイムで読み取れますが、そのほとんどは一切記録されません。

意図的な例外は、メッセージの一部を記憶しておく必要がある機能です。予約送信や保留中の送信、フォローアップやスヌーズ、自動化の実行ログです。いずれも必要なものだけを、上の表に示す期間だけ保持します。

3. 私を信頼する必要はありません。確認できます

「どこかの誰かがノリで作ったものでは」という懸念は、メールに触れるホスト型ツールであれば当然のものです。それに対する正しい答えは、より大きな約束ではありません。私の言葉をそのまま信じる必要をなくすことです。

• コードを読む。MCPEmailsを動かしているサーバーはGitHubで公開されています。何を保持し（暗号化されたトークンと、上に記載した機能の記録）、何を保持しないか（エージェントが読み取るメール）を正確に確認できます。
• セルフホストする。ホスト型サービスを一切使いたくない場合は、同じコードをご自身のインフラストラクチャーで、ご自身の鍵を使って実行できます。1つのコマンドで起動できるDockerスタックがself-host/にあります。
• 範囲が限定され、取り消せる接続を使う。接続には、メールへのアクセスのみを許可するOAuthまたはアプリ パスワードを使用します。私が関与することなく、プロバイダー側でワンクリックで取り消せます。
• 動作を確認する。エージェントによるすべてのツール呼び出しは、お客様が閲覧できるアクティビティログに記録されるため、何にいつアクセスされたかを正確に確認できます。

github.com/Albretsen/MCPEmails

また、お使いのプロバイダーに対応したネイティブのコネクタがあり、必要なことがそれで足りるなら、そちらをお使いください。MCPEmailsは、それらが対応していないプロバイダーや複数の受信トレイの組み合わせのためにあります。

ご自身で実行し、誰も（当社さえも）信頼する必要はありません

MCPEmailsはAGPL-3.0のオープンソースであり、ホスト型サービスは、お客様がセルフホストできるものとまったく同じMCPサーバーを実行しています。つまり、「メールはリアルタイムで取得され、保存されることはない」という点は、信じるしかないものではなく、実際に実行してネットワークを観察すれば確認できるものです。

セルフホストはIMAP/SMTPを主軸としています。どのメールボックスもアプリ パスワードで接続でき、認証情報はお客様だけが持つ鍵で暗号化されます。1つのコマンドで、スタック全体がお客様ご自身のマシン上で起動します。

セルフホストのガイドを読む · AGPL-3.0

4. 本当のリスク：プロンプトインジェクション

ここでの本当の脅威は、私がお客様のメールを読むことではありません。悪意のあるメールがエージェントを乗っ取ろうとすることです。メッセージ内に隠された指示が、AIに何かを転送、削除、または漏洩させようとします。これは、あらゆるメールエージェントにとって現実の、未解決の問題です。解決済みだと主張するつもりはありません。どのように被害を封じ込めているかをお見せします。

• 受信トレイへのアクセスは設定できます。APIキーは、選択した受信トレイのみに制限することも、意図的にワークスペースのすべての受信トレイにアクセスできるようにすることもできます。制限されたキーは、許可されていない受信トレイにはアクセスできません。
• 破壊的な操作は分離され、明示されています。送信と削除はそれぞれ別のスコープを持つ独立したツールで、削除にはconfirm: trueが必要です。クライアントがユーザーに確認を表示するかどうかは、そのクライアントのポリシーによって決まります。
• メールのみ。接続が求めるのはメールへのアクセスだけで、アカウント全体ではありません。カレンダー、ファイル、連絡先にはアクセスしません。メールの範囲では、ツールに必要なため、読み取り、整理、削除、送信と幅広いアクセスになります。Googleログインの場合、Gmailでは「Send mail as」のアドレスの読み取りも許可されます。エージェントがそのアクセスで何をできるかは、各AIアプリやAPIキーに付与する権限と、受信トレイの制限によって絞り込まれます。
• レート制限。すべてのキーにレート制限があるため、暴走したエージェントや乗っ取られたエージェントが、気付かれないまま何千もの操作を一斉に実行することはできません。

解決済みではありません。封じ込めています。取り消せない操作には関門が設けられ、APIキーのスコープと受信トレイの制限によって被害の範囲を狭めることができます。

5. 認証情報の保護方法

受信トレイのトークンとパスワードは当社が保持する最も機密性の高い情報です。そのため、可能な限り最も強力な保護を施しています。

• 転送中のすべてのデータは、TLS 1.2以上で暗号化されます。TLSに対応していない接続は拒否されます。
• OAuthトークンとIMAPの認証情報は、保存時にAES-256-GCMで暗号化されます。暗号鍵は、データベースとは別にサーバーシークレットとして保持され、暗号化されたデータと一緒に保存されることはありません。
• APIキーは、保存前にSHA-256でハッシュ化されます。ハッシュから元のキーを復元することはできません。
• データベースへのアクセスは行レベルセキュリティのポリシーで保護されており、クエリの書き方に誤りがあった場合でも、あるワークスペースが別のワークスペースのデータにアクセスすることを防ぎます。
• 本番インフラストラクチャーへの管理者アクセスには多要素認証が必要であり、ログに記録されます。

6. Google、Microsoft、プロバイダーによる検証

Gmailへのアクセスには、Googleが最も厳しく審査する区分である、Googleの制限付きスコープを使用しています。

MCPEmailsによる、Google APIから受け取った情報の使用および他のアプリへの転送は、限定的使用の要件を含むGoogle API サービスのユーザーデータに関するポリシーに従います。

OutlookとMicrosoft 365へのアクセスは、Microsoftによって発行元が確認済みのアプリからMicrosoft Graphを経由して行われ、Microsoftの同意画面に表示される名前の付いた権限セット（Mail.ReadWrite、Mail.Send、offline_access、openid、profile、email）のみを要求します。Fastmail、iCloud、Yahoo、Zoho、Yandex、その他のIMAPプロバイダーの場合は、プロバイダーが発行し、いつでも取り消せるアプリ パスワードで接続します。当社が過剰に要求できるような広範なOAuthスコープはありません。

7. 再委託先

データに触れる企業のリストは最小限にとどめています。各社は、データ処理契約またはプロバイダーの標準データ処理条件に基づき、当社の指示に従ってのみデータを処理します。また、必要とするお客様には当社のデータ処理契約をご用意しています。このリストに含まれていないものに注目してください。AIプロバイダーは1社も含まれていません。MCPEmailsが、自社のモデルにお客様のメールを送ることはありません。それを行うのはお客様のエージェントであり、お客様の管理と、そのプロバイダーのデータポリシーの下で行われます。

8. 脆弱性の報告

セキュリティ上の問題を見つけた場合は、ぜひご報告ください。後で記事で知るよりも、皆さんから直接聞くほうがずっと良いと考えています。

• 詳細と再現手順をsecurity@mcpemails.comまでメールでお送りください。
• 機械可読の連絡先を/.well-known/security.txtで公開しています。
• 報告は24時間以内に受領確認し、確認された重大な問題は72時間以内に修正することを目指しています。

セーフハーバー。本ポリシーに従うよう誠実に努め、他のユーザーのデータにアクセスしたりそれを変更したりせず、公表する前に問題を修正するための合理的な機会を私に与えていただいた場合、私はお客様の調査を理由とした法的措置を取ることも、それを支援することもありません。

運営者について

運営しているのは1人、私です。私はAsgeir Albretsenで、私が所有するノルウェーの非公開有限責任会社（aksjeselskap）であるAlbretsen AS（組織番号938 702 373、ノルウェー、ベルゲン所在）を通じてMCPEmailsを運営しています。コミットも私自身のもので、github.com/Albretsenから行っています。このページの名前とコードの名前は同一人物です。詳しくは概要ページをご覧ください。法的な表示の全文は利用規約に記載しています。

すべてが1人に依存していることは現実のリスクであり、その答えは、私がいつまでもここにいるという約束ではありません。MCPEmailsはAGPL-3.0で公開されており、ホスト型サービスも同じコードを実行しています。そのため、私が運営をやめた場合や、お客様が単に私を信頼できなくなった場合でも、リポジトリをクローンし、ご自身のインフラストラクチャーでご自身の鍵を使って実行できます。セルフホストのガイドに手順のすべてが記載されています。信頼するしかない匿名のベンダーではなく、連絡が取れて、いつでも離れることもできる、名前のある個人でありたいと考えています。

サポートとセキュリティに関するメールは、キューを経由しません。私に直接届き、すべてのメッセージに私自身が回答します。