Mappa MCP

30 strumenti. Ognuno con la sua classe di rischio.

Questo è tutto quello che un agente può chiamare quando si collega a GigaMail via MCP, e la regola che segue ogni chiamata. L’elenco è generato dal server, quindi corrisponde alla versione che installi.

Due superfici, un solo nucleo

Server MCP

Per il tuo agente. Gira su stdio: nessuna porta di rete da raggiungere o da proteggere.

Console

Per te. Un’API HTTP locale su 127.0.0.1 con un token di sessione. Facoltativa.

Nessuna delle due ha un’intelligenza propria: il ragionamento è sempre del tuo agente.

Quattro classi di rischio

READ

Libere

Lettura, ricerca, elenchi. Il contenuto delle mail è trattato come dato non affidabile.

WRITE_SAFE

Libere, registrate

Piccole modifiche reversibili, scritte nel registro.

DANGEROUS

Approvazione in due fasi

Tutto ciò che invia, cancella o invita. Aspetta una persona.

ADMIN

Solo da CLI

Accessi, credenziali, account. Mai esposti all’agente.

Come funziona l’approvazione in due fasi

1
L’agente chiede
Chiama send_mail come sempre. Non parte niente.
2
GigaMail risponde con un’anteprima
Destinatari, oggetto, testo, allegati, più un request_id inerte valido 15 minuti.
3
Approvi tu, fuori dall’agente
Dalla console, dalla CLI, da Telegram o da una notifica di Windows, con conferma Windows Hello o Touch ID.
4
Poi parte
L’agente richiama con il request_id. Parte il contenuto che hai approvato, non quello che l’agente rimanda. Fino ad allora puoi revocarlo.

Gli strumenti

READ18 · libere

Strumento	Cosa fa
`list_accounts`	Gli account configurati, mai le credenziali.
`get_identity`	Chi sei, cosa fai, il tuo tono: il contesto per bozze con la tua voce.
`list_knowledge_files`	I file che hai registrato: listini, condizioni, schede prodotto.
`read_knowledge_file`	Il testo di un file registrato. Solo i percorsi che hai registrato, nient’altro del disco.
`search_knowledge`	I passaggi più pertinenti dei tuoi file, da un indice locale.
`list_messages`	I messaggi di una cartella, come riepiloghi senza corpo.
`list_unread`	La posta non letta degli ultimi giorni.
`read_message`	Un messaggio come solo testo visibile: il testo nascosto resta fuori ed è segnalato, i link arrivano in elenco.
`read_attachment`	Il testo di un allegato (pdf, docx, xlsx…). Il file binario non arriva mai all’agente.
`list_folders`	Le cartelle di un account.
`search_mail`	Ricerca nell’archivio di GigaMail, nel provider e nell’indice locale.
`sender_history`	Cosa sa l’indice locale di un mittente: tono, argomenti, ultimi scambi.
`observer_context`	Le abitudini ricavate dalle correzioni che hai fatto alle bozze.
`memory_stats`	Lo stato dell’indice locale della posta.
`list_events`	Gli eventi del calendario, Microsoft o Google.
`find_free_slots`	Gli spazi liberi da proporre in una risposta.
`drive_list_files`	I file del tuo Google Drive.
`drive_read_file`	Il testo di un file di Drive.

WRITE_SAFE2 · libere, registrate

Strumento	Cosa fa
`mark_read`	Letto o non letto. Reversibile, subito, scritto nel registro.
`create_folder`	Una cartella vuota nuova. Subito, scritta nel registro.

DANGEROUS10 · approvazione in due fasi

Strumento	Cosa fa
`send_mail`	Inviare una mail nuova.
`reply_mail`	Rispondere in un thread.
`move_message`	Spostare un messaggio in un’altra cartella.
`delete_message`	Cancellare un messaggio.
`delete_folder`	Cancellare una cartella e il suo contenuto.
`create_event`	Creare un evento (può invitare altre persone).
`delete_event`	Cancellare un evento.
`create_zoom_meeting`	Creare una riunione Zoom e averne il link.
`drive_upload_file`	Caricare un file su Google Drive.
`drive_delete_file`	Spostare un file di Drive nel cestino.

Quello che l’agente non può mai fare

ADMIN

Entrare o uscire da un account, aggiungere o togliere account, configurare CalDAV, avviare l’indicizzazione, configurare il mascheramento, cancellare dati. Queste cose stanno solo nella CLI gigamail. Le credenziali non passano mai dal canale dell’agente, quindi una prompt injection nascosta in una mail non può aggiungere un account, leggere un token o cambiare la configurazione.

Scelte di progetto

stdio, non HTTP

Non c’è una porta locale che un altro programma possa chiamare.

`account_id` su ogni strumento

Nessun “account attivo” che l’agente possa cambiare a tua insaputa.

Registro delle azioni in sola aggiunta

Ogni chiamata WRITE_SAFE e DANGEROUS è scritta con ora, strumento, parametri ed esito. Sola aggiunta vuol dire che GigaMail non riscrive mai le voci passate; non rende il file a prova di manomissione per chi ha accesso al tuo disco.

La mail è un dato, non un ordine

Uno strumento DANGEROUS non può mai confermarsi da solo: l’approvazione arriva da una persona, fuori dall’agente.

La mappa completa, con ogni endpoint della console e gli strumenti ancora in progettazione, è in MAPPA_MCP.md su GitHub.