メールHTMLをAI前に無害化するInBoxWall

InBoxWallは、AIに渡す前のメールHTMLを無害化するローカルツールです。動かすのはMCPサーバーという仕組みです。AIエージェントが外部ツールを呼ぶための接続口に当たります。hacker newsにはShow HNとして投稿されました。反応は1ポイント、コメント0件です。[1][4] 注目度は高くありません。それでも話題は重要です。AIにメールを読ませる前に、どこで安全な形へ整えるかという問題だからです。メールは日常の連絡手段です。しかしエージェントにとっては、攻撃者が仕掛けた文書の束にもなります。

背景にあるのは、メールHTMLに潜むプロンプト注入です。プロンプト注入は、エージェントの役割を奪う手口です。メールは人間が見る前提で、HTMLやCSS、Unicodeを自由に使えます。攻撃者はここを突きます。白背景に白文字を置きます。透明な文字要素を使い、画面の外へ文字を追い出します。人間には見えません。しかしLLMは読みます。[2] 文章の途中に指示を埋め込まれると、エージェントの判断が歪む恐れがあります。

Unicodeの手口も多様です。右から左へ書く文字や、ゼロ幅接合子という見えない文字を使います。見た目が同じで意味の違う文字のすり替えもあります。HTMLコメントに「前の指示を無視せよ」と書く例もあります。スタイル指定のブロックに、同じような指示を仕込むこともできます。エージェントがIMAP(メール受信の標準方式)やメールAPIで全文を受けると、HTMLがそのままLLMの文脈に入ります。[2] エージェントは見た目を無視できません。攻撃者にプロンプトの一部を支配されます。

InBoxWallの動きはシンプルです。単一のツールを公開します。呼び出し側が生のメールHTMLを渡すと、無害化した平文を返します。削る対象は幅広いです。styleタグや外部スタイルシートなど、CSS全般を落とします。JavaScriptと、クリックなどに反応するイベントハンドラも削ります。ゼロ幅スペースや文字の向きを変える制御文字など、見えないUnicodeも対象です。[2] HTMLコメントも消します。data URIなど、危険な動きにつながる属性も落とします。平文にすることで、LLMが読む文字列を減らします。

設計で目立つのは、安全境界をLLMの外に置く点です。InBoxWallはメールプロバイダーに接続しません。本文の取得は、IMAPやExchange Web Services、メールAPIなどで行います。エージェントがそのHTMLを渡す想定です。[2] 取得と整形を分けることで、推論に入る前に壁を作ります。ローカルで動く点も大事です。メール本文を外部の整形サービスへ送らずに済みます。プライバシーと安全性を、同じ場所で扱えるからです。境界が明確な分、監査もしやすくなります。ただし、エージェント側が汚れた本文を渡さなければ、壁は意味を成しません。

似た発想のローカルAIメールも公開されています。Inbox_Guardianは、ワークフロー自動化ツールのn8nで組みました。スケジュールでGmailの未読を取得します。Gemini 2.5 flash liteで、KEEPかDELETEに分類します。KEEPならDiscordへ通知し、DELETEならGmailから削除します。[3] ワークフローはJSONで公開され、スクリーンショットとデモ動画もあります。Dockerで5678番ポートを開き、ローカルフォルダをつなげて動かします。KEEPとDELETEの二択は、人間が見る前の選別です。ローカル完結は、外部への送信を減らす利点があります。

セットアップの工程は長めです。Docker Desktopをインストールし、ローカルに作業用フォルダを作ります。n8nを起動し、ブラウザで5678番ポートを開きます。Gmailの認証では、読み取りと削除を許可します。Discordへ通知を飛ばすWebhookを貼り、Gemini APIキーを入力します。[3] AIによるメール整理です。ただし削除を自動化する分、誤分類の怖さは残ります。GitHubにはlocal-ai-email-agentという、ローカルとプライバシーを掲げるAIメールエージェントもあります。[6] 詳細は検索結果だけでは分かりません。

ただし、InBoxWall自体が万能とは限りません。作者はCursorのフォーラムで、見落としやすい細かい条件を尋ねています。[5] hacker newsの反応が小さいことも、まだ検証段階であることを示します。[1][4] 無害化の誤検知率や速度の具体的な数値はありません。削りすぎて必要な情報が落ちる可能性も、削りきれない手口が残る可能性もあります。ローカルであることと安全であることは、同じではありません。それでも示唆はあります。メールをAIに渡すなら、HTMLをそのまま文脈に入れるのは危ういです。推論の安全をLLM任せにせず、入力の段階で整える発想は、ローカル運用と相性が良いです。その小さな壁が、今後のエージェント実装で重要になると思われます。MCPサーバーとして公開する形は再利用しやすく、メールに限らず危険な入力への前処理としても考えられます。

引用ソース

Hacker News Hacker News: Show HN: InBox Wall – A local-first, open-source email sanitizer for AI agents — https://github.com/Annora998/inboxwall

Show HN: InBox Wall – A local-first, open-source email sanitizer for AI agents
Web記事 記事全文: InboxWall: How a Local-First MCP Server Sanitizes Email HTML to Stop … — https://dev.to/mech_app_ai/inboxwall-how-a-local-first-mcp-server-sanitizes-email-html-to-stop-prompt-injection-before-the-1ipb

Email is a hostile data source. When you give an AI agent access to your inbox, you hand it HTML that may contain hidden CSS directives, Unicode obfuscation, and invisible text designed to manipulate the LLM’s context wi
Web記事 記事全文: GitHub – 21Afnan/Inbox_Guardian: A local AI-powered agent built with … — https://github.com/21Afnan/Inbox_Guardian

InboxGuardian is a local AI-powered email cleaner built with n8n.
It automatically scans your inbox on a schedule, classifies emails with AI, and then:
– ✅ Sends important emails as notifications via Discord
– 🗑️ Automat
Web記事 Web検索: Show HN: InBox Wall – A local-first, open-source email sanitizer for AI … — https://news.ycombinator.com/item?id=50134132

Show HN: InBox Wall – A local-first, open-source email sanitizer for AI …
Web記事 Web検索: Seeking feedback: Local-first MCP server for email sanitization (what … — https://forum.cursor.com/t/seeking-feedback-local-first-mcp-server-for-email-sanitization-what-all-edge-cases-am-i-missing/175096

Seeking feedback: Local-first MCP server for email sanitization (what …
Web記事 Web検索: GitHub – kavindya-jc/local-ai-email-agent: A local, privacy-first AI … — https://github.com/kavindya-jc/local-ai-email-agent

GitHub – kavindya-jc/local-ai-email-agent: A local, privacy-first AI …

※ 本記事はAIにより、Reddit・Hacker News・5ch・Xトレンドの公開投稿・トレンドを軸に、その話題をWeb検索で深掘りして集めた一次情報(記事全文・HNコメント)を併せて自動生成されました。本文中の[n]は末尾の引用ソース番号です。内容の正確性は保証されません。引用先を必ずご確認ください。