電郵的未來：為何身分驗證是 AI 的關鍵信任層

電郵的未來取決於身分驗證標準所提供的強大信任層。隨著 AI 助手開始自主地摘要、執行動作並回覆電郵，透過加密方式驗證寄件者身分的的能力，變得比郵件內容本身更為關鍵。

電郵身分驗證作為必要的基礎設施

電郵身分驗證已從一個可選的最佳實踐轉變為確保傳遞的基礎性要求。遵循著類似於網路 HTTPS 的發展軌跡，身分驗證正成為一種無形的基礎設施，確保郵件在進入收件匣之前即為合法。

這一轉變在 2024 年初得到加速，當時 Google 和 Yahoo 開始要求大量寄件者必須正確配置 DMARC，以確保可靠的傳遞。此舉有效地將身分驗證轉變為接觸用戶的先決條件。

身分驗證的三大支柱

現代電郵信任建立在三個相互關聯的標準之上：

• SPF (Sender Policy Framework): 驗證發送郵件的伺服器是否有權代表該網域進行發送。
• DKIM (DomainKeys Identified Mail): 為郵件附加加密簽章，允許接收伺服器確認內容在傳輸過程中未被篡改。
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): 將 SPF 和 DKIM 結合在一起，指示接收伺服器拒絕、隔離或允許未通過這些檢查的郵件。

AI 對電郵安全性的影響

AI 正在為電郵處理方式引入兩種主要的轉變，這兩者都增加了對身分驗證的依賴：

1. AI 過濾

現代的垃圾郵件和網路釣魚過濾器比以往的任何版本都更強大。身分驗證結果現在是這些 AI 驅動的過濾器判斷哪些郵件值得用戶關注、哪些應該被攔截的核心輸入。

2. AI 助手

AI 助手處理收件匣摘要並代表用戶執行動作的能力正日益增強。人類可能會注意到稍微拼錯的網域或奇怪的要求，但自主的 AI 代理（agent）可能只會讀取郵件的緊急程度並據此採取行動。在這種情況下，身分驗證是唯一能阻止極具說服力的 AI 生成偽造郵件觸發未經授權動作的防護措施。

Fastmail 透過提供一個 MCP server——一個允許用戶透過明確授權來連接其自有 AI 客戶端的 API 端點——來應對此問題，而不是直接將 AI 整合進收件匣或在背景處理郵件。

新興標準與限制

新的信任訊號正建立在現有的身分驗證基礎之上：

• BIMI (Brand Indicators for Message Identification): 允許經過驗證的寄件者在支援的收件匣中顯示其企業標誌，提供一種比文字內容更難偽造的視覺信任訊號。
• DKIM 進化: DKIM 的設計正在被重新審視，並結合了實驗性的 ARC (Authenticated Received Chain) 規範的經驗，以更好地追蹤複雜電郵流程中的變化，並保護合法寄件者的信譽。

儘管有這些進展，身分驗證確認的是網域身分，而非意圖。使用外觀相似的網域並配備完美配置的 DMARC 紀錄的惡意行為者，仍能通過身分驗證檢查。身分驗證提高了偽裝的成本與複雜度，但並未消除詐騙風險。

社群觀點與反對意見

技術用戶之間的討論突顯了目前電郵安全處理方式的幾個缺口：

加密辯論

許多人認為，若沒有端對端加密 (E2EE)，身分驗證是不足的。一些用戶建議 GPG (GNU Privacy Guard) 或類似標準應成為常態，以確保機密性與真實性。

"All email problems can be solved with GPG, but that ruins Fastmail and other email services business, as they won't be able to read and analyze their users' emails."

可攜性問題

一些批評者認為，與網域綁定的身分驗證標準並不解決供應商鎖定的根本問題。他們建議需要一種標準，讓用戶可以不論其託管供應商為何，都能驗證其身分，類似於電話號碼可以在電信商之間攜帶轉移。

人類與 AI 判斷力的差距

目前對於 AI 是否比人類更容易受到偽造攻擊的討論正在進行中。有人認為，如果 AI 代理被要求檢查身分驗證與網域有效性，它會比可能因網路釣魚訓練而感到疲勞的人類讀者更一致且嚴謹。

「主鑰匙」疑慮

一些觀察者擔心，透過將判斷力外包給 AI 並強化 SPF/DKIM，產業正是在「強化鎖頭，同時分發更多主鑰匙」，隨著我們越來越依賴自動化系統來信任經過驗證的網域，這可能會產生新的系統性漏洞。