给 Agent 单独开邮箱，先补的是隔离和审计

看到 Agently Mail 这种东西，最先注意到的是，它把邮件从个人账户里拆成了单独的工作空间。邮件这类系统平时看起来很朴素：收、搜、回、转、删、下载附件，都是细碎动作。可一旦把这些动作交给 Agent，麻烦就会从“看懂一封邮件”变成“怎么把身份、历史和副作用一起收住”。

把一大堆 newsletter 丢进去试一遍，其实是个很合适的起点。newsletter 风险低、内容重复、容错也高，最适合看系统到底是在做摘要，还是在做流程收敛。只是把邮件文本喂给模型，和把一个可执行邮箱交给模型，中间差的不是一点点功能，而是动作边界、凭证边界和回放能力。前者更像读文章，后者才像在接管工作流。

真正需要盯住的，不是它会不会读邮件，而是它会不会把该隔离的东西隔离开。个人邮箱里通常混着订单、验证码、合同、招聘、报销、订阅通知和临时转发。Agent 直接接管这种邮箱，最先出事的往往不是理解错误，而是操作越界：回错线程、删错邮件、把附件带去不该去的地方，或者把一条看似完整的回复发给错误对象。邮件很少单点出事故，更多时候是小动作叠在一起，把半个通信链路拖歪。

所以，Agent 邮箱的价值不在“能不能收邮件”，而在它有没有把身份、权限、动作日志和回滚路径拆清楚。独立账号、短期凭证、明确的文件夹边界、可审计的操作记录、默认先生成草稿，这些东西都不显眼，但它们决定了这类产品能不能真的用起来。没有这些，邮箱只是换了一个更会说话的客户端；有了这些，才算把个人工作流里最容易失控的那一段先圈了起来。

这类邮箱更适合处理订阅邮件、例行通知、状态同步和低风险跟进，不太适合直接碰 HR、法务、支付、验证码和所有带强时效的敏感通信。边界划得越清，Agent 才越像一个能并行处理杂活的助手，而不是一台随时可能把私人通信和业务通信混在一起的自动回复机。邮件这件事本来就不轻，给 Agent 用以后，先补上的还是边界。