Anthropic відкрила Claude доступ до Gmail-скриньки: агент тепер може автоматично сортувати вхідні листи, готувати відповіді та архівувати непотрібне без постійного нагляду людини. За даними Engadget, разом із запуском функції зʼявилися й перші попередження дослідників безпеки: агент можна обманути через prompt injection — приховану інструкцію всередині самого листа, — і змусити його переслати конфіденційні дані чи виконати дію, якої власник скриньки не санкціонував.

Це не перший випадок, коли AI-агент отримує «руки» в реальному сервісі, і не перший випадок, коли ця свобода одразу впирається в питання довіри. Пошта — особливо чутливе середовище: там паролі для відновлення доступу, рахунки, особисте листування і корпоративна переписка. Дати агенту право самостійно архівувати чи відповідати на такі листи — це вже не автодоповнення тексту, а делегування рішень.

Що саме тепер може робити Claude з поштою?

Функція дозволяє Claude діяти в Gmail як напівавтономний асистент: класифікувати вхідні листи за важливістю, формулювати чернетки відповідей і переміщувати повідомлення в архів за заданими користувачем правилами. Ключова відмінність від класичних фільтрів Gmail у тому, що рішення приймає не жорсткий скрипт, а модель, яка інтерпретує зміст листа природною мовою — і саме ця гнучкість одночасно є і перевагою, і вразливістю.

Класичний фільтр не «читає» лист у сенсі розуміння намірів — він шукає збіг за ключовими словами. Агент на базі LLM натомість аналізує весь текст листа як контекст для прийняття рішення, а це відкриває шлях для маніпуляції змістом самого повідомлення.

Де ховається головний ризик — prompt injection?

Prompt injection — це техніка, коли зловмисник вбудовує в контент (лист, документ, вебсторінку) текст, що виглядає як інструкція для AI-агента, а не як звичайний вміст. Якщо агент обробляє лист і паралельно виконує вбудовані в нього команди, зловмисний відправник може змусити його переслати листування третій стороні, видалити важливе повідомлення або підтвердити дію від імені користувача.

За словами дослідників, на яких посилається Engadget, ризик посилюється тим, що агент має легітимний доступ до всієї скриньки — тобто успішна атака масштабується не на один лист, а потенційно на весь архів листування. Це принципово інша модель загрози порівняно з фішинговим листом, який просить людину клікнути посилання: тут ціль — не людина, а сам агент з правами доступу.

Кому це вже потрібно і навіщо?

Найочевидніший запит — люди й команди, що тонуть у вхідних: сортування за пріоритетом, автоматичні чернетки типових відповідей, архівування розсилок. Для соло-фаундерів і невеликих команд це реальна економія часу, якщо ризики прийняті свідомо, а не проігноровані. Ми вже писали про те, як AI-асистенти отримують дедалі більше постійного доступу до особистих даних користувача — пошта тут лише черговий, хоч і особливо чутливий, канал.

Проблема в тому, що зручність і ризик ростуть з однієї і тієї самої властивості — ширини прав доступу. Чим більше агент може зробити без підтвердження, тим менше часу потрібно зловмиснику, щоб перетворити один шкідливий лист у витік даних.

Що робити з цим уже зараз?

Наша теза в AiiN проста: автономність агента в поштовій скриньці має бути функцією довіри, яку заробляють поступово, а не дефолтною настройкою. Перш ніж підключати Claude чи будь-якого іншого агента до Gmail, варто розвести дії на дві категорії — ті, що агент виконує сам (сортування, чернетки), і ті, що вимагають підтвердження людини (пересилання, видалення, відповідь зовнішньому адресату). Це і є та «пісочниця з людиною в контурі», про яку варто думати ще до підключення, а не після першого інциденту.

Для AI-білдерів, що проєктують подібні інтеграції самостійно через API, практичний висновок ще конкретніший: ізолюйте вміст листа від системного промпту на рівні архітектури і явно позначайте, що текст листа — це дані, а не інструкції. Без такого розмежування будь-яка модель, незалежно від вендора, залишається вразливою до injection за конструкцією, а не через недбалість розробника.

FAQ: Claude і керування поштою

Чи можна повністю захиститися від prompt injection в email-агентах?

Наразі — ні, повного захисту не існує в жодного вендора. Мінімізація ризику досягається обмеженням прав агента (окремі рівні дозволів для читання, чернетки та відправлення) і людською перевіркою критичних дій, а не одним технічним фіксом.

Чим ризик автономного email-агента відрізняється від звичайного фішингу?

Фішинг цілиться в людину і залежить від того, чи клікне вона посилання. Атака на агента з доступом до скриньки цілиться в саму модель і, у разі успіху, масштабується на весь архів листування без додаткової дії користувача.

Чи варто вже зараз підключати Claude до робочої пошти?

Для рутинних задач на кшталт сортування й чернеток — можна, за умови, що дії з реальними наслідками (відправлення, видалення, пересилання) залишаються під підтвердженням людини, а не переходять в повністю автономний режим.