即使每条消息都通过，可以发送邮件的人工智能代理也可以产生业务后果 SPF, DKIM 和 DMARC。身份验证解决发送域身份的各个方面；它并不能证明该消息是经过授权的、准确的或适当的。将发送操作作为具有定义的目的和收件人范围的单独功能进行管理。
定义代理可以通信的内容
指定批准的用例、发送帐户、收件人来源、数量限制、附件规则和审核要求。例行内部状态摘要和合同承诺不应共享相同的自主审批路径。根据组织的政策限制外部收件人和敏感内容，并确定谁可以更改该政策。
从受信任的目录或明确批准的地址获取收件人身份，而不是从正在分析的电子邮件中嵌入的指令获取收件人身份。一条消息说将报告发送到这个新地址是评估证据，而不是自动授权。 OWASP 快速注入 解释了为什么外部文本如果被视为指令就可以操纵代理行为。
将发送权限与读取权限分开
使用仅具有必要邮箱和 API 权限的发送身份。报告阅读集成不应默默地获得发送或代表发送权限。将草稿生成、批准和提交作为单独的记录事件进行保存。提交之前，请根据批准的版本重新检查收件人、主题、正文和附件。
OWASP 过度代理 建议限制公开的功能和权限并在下游强制执行授权。在发送网关应用这些控制，以便模型无法使用通用 HTTP 工具或备用邮件 API 绕过它们。速率限制和终止开关可以减少影响，但不能替代收件人和内容授权。
测试有界发送工作流程
对于书面计划 SEND-01，假设租户-A/服务邮箱，来自status@example.invalid ，收件人ops@example.invalid ，主题例程状态，正文审核完成；没有提议的更改，没有附件，目的内部状态。所有身份均为说明性的，未提供任何凭证或实际批准。
根据提议的网关规则，具有有效受保护批准和未使用的操作 ID 的确切对象可能有资格提交。新的外部收件人、附件、合同目的、更改的正文、更改的发件人、不同的帐户或重复使用的操作 ID 必须阻止它。通用 HTTP 路由不得绕过相同的授权边界。这些是预期的决定，而不是执行的测试。
在生产中，区分提供商接受的请求和收件人交付。如果发送响应丢失，请在重试之前检查可用的消息或操作标识符，以避免重复邮件。提供者幂等性支持各不相同；仅本地重放防护无法证明网络故障时的一次性传送。
保持可检查的行动链
提议的顺序是批准的报告检索、草稿创建、授权的人工决策、执行网关验证、提供者提交和单独的交付观察。记录哪个组件拥有每个步骤。在此示例中，提供商请求 ID、批准收据、提交时间戳和交付结果不可用。没有运行提供者适配器、本地防护或重放测试，也没有发送任何消息。
验证并审核实际邮件路径
为所选发件人域配置发送服务的记录身份验证，并在接收方验证授权测试消息。 RFC 9989 解释 结盟， 尽管 DKIM 将签名者的责任与声称的作者分开。这两种协议都不能证明人工智能生成的陈述的真实性。
在适当的保留控制下保留用户或服务授权、批准的内容版本、收件人解析、提交结果和后续交付证据。提供一种立即暂停发送而不禁用只读诊断的方法。如果发送了未经授权的消息，则将其视为通信事件；修复DNS不会收回其内容。