Agen AI yang dapat mengirim email dapat menimbulkan konsekuensi bisnis bahkan ketika setiap pesan lolos SPF, DKIM Dan DMARC. Otentikasi menangani aspek identitas domain pengirim; itu tidak menetapkan bahwa pesan tersebut sah, akurat atau sesuai. Atur tindakan pengiriman sebagai kemampuan terpisah dengan tujuan dan cakupan penerima yang ditentukan.
Tentukan apa yang dapat dikomunikasikan oleh agen
Tentukan kasus penggunaan yang disetujui, akun pengirim, sumber penerima, batas volume, aturan lampiran, dan persyaratan peninjauan. Ringkasan status internal rutin dan komitmen kontrak tidak boleh memiliki jalur persetujuan otonom yang sama. Batasi penerima eksternal dan konten sensitif sesuai dengan kebijakan organisasi, dan tentukan siapa yang dapat mengubah kebijakan tersebut.
Dapatkan identitas penerima dari direktori tepercaya atau alamat yang disetujui secara eksplisit, bukan dari instruksi yang tertanam dalam email yang sedang dianalisis. Pesan yang mengatakan pengiriman laporan ke alamat baru ini adalah bukti untuk dievaluasi, bukan otorisasi otomatis. Injeksi Cepat OWASP menjelaskan mengapa teks eksternal dapat memanipulasi perilaku agen jika diperlakukan sebagai instruksi.
Pisahkan otoritas pengiriman dari membaca
Gunakan identitas pengirim hanya dengan kotak surat dan izin API yang diperlukan. Integrasi pembacaan laporan tidak boleh secara diam-diam mendapatkan otoritas pengiriman atau pengiriman atas nama. Pertahankan pembuatan draf, persetujuan, dan penyerahan sebagai peristiwa log yang terpisah. Sebelum diserahkan, periksa kembali penerima, subjek, isi dan lampiran terhadap versi yang disetujui.
Keagenan OWASP yang Berlebihan merekomendasikan untuk membatasi fungsi dan izin yang terbuka serta menerapkan otorisasi di bagian hilir. Terapkan kontrol tersebut di gateway pengiriman sehingga model tidak dapat melewatinya dengan alat HTTP umum atau API email alternatif. Batasan kapasitas dan tombol pemutus mengurangi dampak namun tidak menggantikan otorisasi penerima dan konten.
Uji alur kerja pengiriman terbatas
Untuk rencana tertulis SEND-01, asumsikan kotak surat penyewa-A/layanan, Dari status@example.invalid , penerima ops@example.invalid , status Rutin subjek, isi Tinjauan selesai; tidak ada perubahan yang diusulkan, tidak ada lampiran, status internal tujuan. Semua identitas bersifat ilustratif dan tidak ada kredensial atau persetujuan aktual yang diberikan.
Berdasarkan aturan gateway yang diusulkan, objek persis dengan persetujuan terlindungi yang valid dan ID operasi yang tidak digunakan dapat memenuhi syarat untuk dikirimkan. Penerima eksternal baru, lampiran, tujuan kontrak, perubahan isi, perubahan Dari, akun berbeda, atau ID operasi yang digunakan kembali harus menghentikannya. Rute HTTP umum tidak boleh melewati batas otorisasi yang sama. Ini adalah keputusan yang diharapkan, bukan pengujian yang dilaksanakan.
Dalam produksi, bedakan permintaan yang diterima penyedia dari pengiriman penerima. Jika respons pengiriman hilang, periksa pesan yang tersedia atau pengidentifikasi operasi sebelum mencoba lagi untuk menghindari duplikat email. Dukungan idempotensi penyedia bervariasi; penjaga replay lokal saja tidak dapat membuktikan pengiriman tepat satu kali melalui kegagalan jaringan.
Pertahankan rantai tindakan yang dapat diperiksa
Urutan yang diusulkan adalah pengambilan laporan yang disetujui, pembuatan draf, keputusan manusia yang berwenang, validasi gerbang eksekusi, penyerahan penyedia, dan observasi pengiriman terpisah. Catat komponen mana yang memiliki setiap langkah. ID permintaan penyedia, tanda terima persetujuan, stempel waktu pengiriman, dan hasil pengiriman tidak tersedia dalam contoh ini. Tidak ada adaptor penyedia, penjaga lokal, atau pengujian ulangan yang dijalankan, dan tidak ada pesan yang dikirim.
Otentikasi dan audit jalur email sebenarnya
Konfigurasikan autentikasi terdokumentasi layanan pengirim untuk domain Dari yang dipilih dan verifikasi pesan pengujian resmi pada penerima. RFC 9989 menjelaskan penyelarasan, ketika DKIM memisahkan tanggung jawab penandatangan dari penulis yang diakui. Tidak ada protokol yang mengesahkan kebenaran pernyataan yang dibuat oleh AI.
Simpan otorisasi pengguna atau layanan, versi konten yang disetujui, resolusi penerima, hasil pengiriman, dan bukti pengiriman berikutnya di bawah kendali penyimpanan yang sesuai. Berikan cara untuk segera menangguhkan pengiriman tanpa menonaktifkan diagnosis hanya-baca. Jika pesan yang tidak sah dikirim, perlakukan itu sebagai insiden komunikasi; memperbaiki DNS tidak akan menarik kembali isinya.