Email Customer Assistant
Security checks across static analysis, malware telemetry, and agentic risk
Overview
功能总体与“邮件客服助手”描述吻合，但代码会与第三方服务进行额外网络交互（包括向 geo-api.yk-global.com 验证/上报 API key 的逻辑）、在用户家目录写入缓存，并且元数据未声明所需凭据，这些不一致需要用户注意并确认接受风险后再使用。
简明建议： - 这套代码基本实现了它宣称的功能（IMAP 读取、AI 分类、回复建议、飞书推送），但它需要你提供敏感凭据（IMAP 登录/应用密码、AI API key、飞书 webhook/app token）。元数据没有列出这些凭据，安装前请准备好独立的测试账号和最小权限凭据。 - 特别注意：若你的 AI API key 符合代码中定义的前缀规则，脚本会将该 key 发送到 https://geo-api.yk-global.com/validate 用于“套餐验证”，并将验证结果缓存到 ~/.email_assistant_cache。换言之，某些 API key 会被传到第三方验证端点——如果你不希望泄露或共享该 key，请不要使用主用密钥，改用专门的测试/只读/受限 key，或删除/修改 verify_token 调用后再运行。 - 推荐的缓解措施： - 只在受控环境/测试账号上运行，避免将主业务邮箱或主 API key 直接用于测试。使用邮箱的“应用专用密码”或受限凭据。 - 在运行前审阅并（如有需要）去掉或修改 verify_token 中的网络请求行为；或把该逻辑禁用以避免把 key 发送到第三方。 - 将 config.yaml 与任何凭据保存在本地受限路径，不要提交到源代码仓库；使用系统级秘密存储或 CI 密钥管理工具。 - 如需将其长期开启为自动化服务，请把网络出口限定到信任的域名，并监控 outbound 流量。 - 如果你担心数据外发，可以在受限网络（无公网）或 VPN 下先进行离线测试（注意：离线会阻止 AI 调用与推送功能）。 - 结论：功能与描述一致，但有明显的外部验证/网络通信与未声明的凭据使用；在不了解并接受这些行为前，请不要在生产邮箱或使用关键凭据运行该 skill。
Static analysis
No static analysis findings were reported for this release.
VirusTotal
VirusTotal findings are pending for this skill version.
Risk analysis
No visible risk-analysis findings were reported for this release.