An AI agent that can send mail can create business consequences even when every message passes SPF, DKIM 和 DMARC。身份驗證解決發送域身份的各個方面；它並不能證明該訊息是經過授權的、準確的或適當的。將傳送操作作為具有定義的目的和收件者範圍的單獨功能進行管理。
定義代理可以通訊的內容
指定核准的用例、發送帳戶、收件者來源、數量限制、附件規則和審核要求。例行內部狀態摘要和合約承諾不應共享相同的自主審批路徑。根據組織的政策限制外部收件人和敏感內容，並確定誰可以更改該政策。
從受信任的目錄或明確批准的地址獲取收件人身份，而不是從正在分析的電子郵件中嵌入的指示獲取收件人身份。一條訊息說將報告發送到這個新地址是評估證據，而不是自動授權。 OWASP 快速注入 解釋了為什麼外部文字如果被視為指令就可以操縱代理行為。
將發送權限與讀取權限分開
使用僅具有必要郵箱和 API 權限的傳送身分。報告閱讀整合不應默默地獲得發送或代表發送權限。將草稿產生、批准和提交作為單獨的記錄事件進行保存。在提交之前，請根據已批准的版本重新檢查收件人、主題、正文和附件。
OWASP 過度代理 建議限制公開的功能和權限並在下游強制執行授權。在傳送網關應用這些控制，以便模型無法使用通用 HTTP 工具或備用郵件 API 繞過它們。速率限制和終止開關可以減少影響，但不能取代收件人和內容授權。
測試有界發送工作流程
對於書面計劃 SEND-01，假設租戶-A/服務郵箱，來自status@example.invalid ，收件人ops@example.invalid ，主題例程狀態，正文審核完成；沒有提議的更改，沒有附件，目的內部狀態。所有身分均為說明性的，未提供任何憑證或實際批准。
根據提議的網關規則，具有有效受保護批准和未使用的操作 ID 的確切物件可能有資格提交。新的外部收件者、附件、合約目的、變更的正文、變更的寄件者、不同的帳戶或重複使用的動作 ID 必須封鎖它。通用 HTTP 路由不得繞過相同的授權邊界。這些是預期的決定，而不是執行的測試。
在生產中，區分提供者接受的請求和收件人交付。如果發送回應遺失，請在重試之前檢查可用的訊息或操作標識符，以避免重複郵件。提供者冪等性支援各不相同；僅本地重播防護無法證明網路故障時的一次性傳送。
保持可檢查的行動鏈
提議的順序是批准的報告檢索、草稿創建、授權的人工決策、執行網關驗證、提供者提交和單獨的交付觀察。記錄哪個組件擁有每個步驟。在此範例中，提供者請求 ID、批准收據、提交時間戳記和交付結果不可用。沒有運行提供者適配器、本地防護或重播測試，也沒有發送任何訊息。
驗證並審核實際郵件路徑
為所選寄件者網域設定傳送服務的記錄驗證，並在接收方驗證授權測試訊息。 RFC 9989 解釋 結盟， 儘管 DKIM 將簽名者的責任與聲稱的作者分開。這兩種協議都不能證明人工智慧產生的陳述的真實性。
在適當的保留控制下保留使用者或服務授權、批准的內容版本、收件人解析、提交結果和後續交付證據。提供一種立即暫停發送而不禁用唯讀診斷的方法。如果發送了未經授權的訊息，則將其視為通訊事件；修復DNS不會收回其內容。