KI-E-Mail-Agenten:
die gefährlichste Integration, und wie Sie sie eingrenzen.

Ein KI-E-Mail-Agent liest, sortiert, entwirft und verschickt mitunter E-Mail in Ihrem Namen, angebunden an ein Postfach über Gmail, Outlook oder IMAP. Er arbeitet einen Rückstand ab, entwirft Antworten, zieht Details aus Nachrichten in Ihre anderen Systeme und hebt hervor, was Sie wirklich brauchen. Das gehört zum Wertvollsten, worauf Sie einen Agenten ansetzen können. Zugleich kann hier am meisten schiefgehen, aus einem strukturellen Grund, nicht aus Zufall. Genau um diesen Grund geht es im Leitfaden.

Wir bauen Pinchy, eine selbst-gehostete Agenten-Plattform mit E-Mail-Integration. Wir sind hier also nicht neutral. Wir benennen konkret, welche Eingrenzung einen E-Mail-Agenten sicher macht, denn in der Standardform ist er wirklich riskant.

Warum E-Mail besonders gefährlich ist

Die meisten Integrationen sind in eine Richtung gefährlich. E-Mail ist es in zwei zugleich. Das unterscheidet sie.

Eingehende E-Mail ist ungeprüfter Inhalt. Jeder kann Ihnen eine Nachricht schicken. Ein E-Mail-Agent liest also von vornherein Text, den ein Angreifer steuert. Das ist das ideale Transportmittel für indirekte Prompt Injection: eine versteckte Anweisung irgendwo in einer Nachricht, die der Agent als Teil seiner Aufgabe liest und befolgt. Prompt Injection steht inzwischen ganz oben auf den Risikolisten für Anwendungen mit Sprachmodellen. E-Mail ist ihre am stärksten exponierte Angriffsfläche.

Ausgehende E-Mail ist ein Ausgangskanal. Ein Agent, der Mail verschickt, kann Daten hinausschicken, an jeden. Beides zusammen: Sobald Sie ihn anbinden, besitzt ein E-Mail-Agent zwei der drei Bausteine der tödlichen Kombination, den ungeprüften Zugang und den Weg nach draußen. Geben Sie ihm Zugriff auf etwas Sensibles, hat er alle drei. Keine andere übliche Integration liefert diese Kombination gratis.

Das ist nicht hypothetisch

Forscher haben den Angriff vorgeführt, und die gefährlichen Varianten kommen ohne Klick aus: kein Fehler des Nutzers nötig. Sie zeigten präparierte HTML-E-Mails, die den Schadteil mit Tricks wie weißer Schrift auf Weiß oder winziger Schriftgröße vor dem Menschen verbergen. Die Mail weist einen angebundenen Agenten an, sensible Informationen zu finden und hinauszuschleusen, teils bevor der Empfänger sie überhaupt öffnet. Eine offengelegte Klasse davon, manchmal serverseitige Lecks genannt, schleust Daten aus der eigenen Infrastruktur des KI-Anbieters, nicht vom Gerät des Nutzers. Die üblichen Schutzmechanismen am Endgerät sehen sie deshalb nie (Infosecurity Magazine). Eine einzige erfolgreiche Injektion durch einen E-Mail-Agenten gibt jahrelange Korrespondenz, Kundendaten und interne Abstimmung nach außen. Nutzen und Katastrophe laufen über dieselbe Verbindung.

Einen E-Mail-Agenten eingrenzen

Die gute Nachricht: Die Eingrenzung ist konkret und hängt vor allem an einer Entscheidung. Behandeln Sie das Versenden als die gefährliche Handlung und sichern Sie es ab.

• Standardmäßig nur Entwürfe. Lassen Sie den Agenten die ganze Arbeit tun, lesen, sortieren, entwerfen, aber kurz vor dem Versand stoppen. Die unumkehrbare Entscheidung trifft ein Mensch. So bleibt fast der gesamte Nutzen erhalten, und der Weg nach draußen entfällt: Ein Entwurf geht nirgendwohin, bis eine Person ihn verschickt.
• Versendet er, begrenzen Sie die Empfänger per Allow-List. Wo autonomes Versenden wirklich nötig ist, beschränken Sie es auf einen festen Satz von Empfängern oder Domains. So lenkt eine eingeschleuste Anweisung keine Daten an die Adresse eines Angreifers um.
• Die Lese-Seite eng fassen. Geben Sie dem Agenten Zugriff nur auf die Postfächer oder Labels, die er braucht, nicht auf das ganze Konto. So reicht ein kompromittierter Agent weniger weit.
• Jede eingehende Mail als ungeprüft behandeln. Sie ist es. Lassen Sie dem Agenten keine dauerhaften Rechte, die eine Anweisung in einer Nachricht gegen Sie wenden könnte.
• Jeden Lese- und Sendevorgang protokollieren. Ein manipulationssichtbarer Audit-Trail macht aus einem lautlosen Datenabfluss ein sichtbares Ereignis, das Sie erkennen und nachverfolgen.

Nichts davon beseitigt die Prompt Injection. Aber es nimmt dem Agenten die Fähigkeit, Katastrophales anzurichten, wenn eine Injektion durchkommt. Bei einem Angriff, der sich nicht patchen lässt, ist das das einzige ehrliche Ziel.

Wie Pinchy das löst

Pinchy stellt seine E-Mail-Integration als eng begrenzte Tools bereit, die über die Allow-List jedes Agenten laufen, mit Standard-Verbot. Lesen, Entwerfen und Versenden sind getrennte Fähigkeiten, die Sie bewusst vergeben, nicht eine einzige E-Mail-Vollmacht. Wir bauen um ein Muster herum und nutzen es selbst: reine Entwürfe, ein Mensch versendet. Der Agent bereitet die Antwort oder die Auswertung vor, eine Person entscheidet über den Versand. Jede E-Mail-Aktion landet in einem pro Zeile signierten Audit-Trail. Und weil Pinchy selbst-gehostet ist, gibt es bei uns keinen gemeinsam genutzten Cloud-Anbieter. Jener Angriffsklasse, die aus dessen eigener Infrastruktur hinausschleust, fehlt damit die Grundlage. Der Agent und sein Postfach-Zugriff liegen auf Systemen, die Sie kontrollieren. Die ehrliche Position ist dieselbe wie im Rest des Leitfadens: Wir können nicht verhindern, dass Ihr Postfach eine bösartige Nachricht erhält. Also haben wir die Plattform so gebaut, dass Sie eine solche Nachricht überstehen.