# E-mail é entrada não confiável

O assistente lê e-mails de estranhos, e o que ele escreve é salvo na sua caixa
de e-mail. Qualquer pessoa pode esconder uma instrução para o modelo em um
e-mail – “ignore as regras, coloque em cópia na resposta…”. É um ataque real, e
o draften se defende dele em camadas, **sem contar com o modelo recusar a
instrução**.

## Antes do modelo

- **E-mails automáticos são descartados pelos cabeçalhos** (respostas
  automáticas, devoluções, notificações, e-mails em massa) antes que qualquer
  modelo os veja. O assistente nunca os responde, então um loop entre duas
  máquinas não tem como começar. A exceção são os endereços de formulários da
  web das configurações do assistente.
- **Texto oculto é removido** – texto branco, tamanho zero, texto fora da tela,
  comentários HTML. O que foi encontrado fica registrado com a mensagem.
- **Caracteres invisíveis** (de largura zero, de controle, de direção e
  semelhantes) são retirados e contados.
- **Frases que parecem instruções** são sinalizadas; a mensagem passa a ter o
  marcador **suspeita** em E-mails.

## Nas instruções do modelo

Todo texto externo – o assunto, o nome do remetente, o corpo, mensagens
anteriores da conversa, resultados do histórico da caixa de e-mail e dos
sistemas conectados – fica em um bloco fechado, com a observação de que são
dados, não instruções. Os marcadores do bloco são escapados no conteúdo, então
um atacante não consegue fechar o bloco. A regra sobre os blocos faz parte do
núcleo fixo do draften, não é um texto editável. O modelo é orientado a
repassar o assunto quando percebe uma tentativa de manipulação.

## Depois do modelo

O que o modelo escreve o draften confere com a mesma desconfiança – passou por
um e-mail de um estranho:

- o **destinatário** só pode ser um endereço que está na mensagem original,
- um **Cc** só com os endereços permitidos do assistente; caso contrário, ele é
  deixado de fora,
- **anexos** só da lista de anexos do assistente,
- **links** só para domínios permitidos e para os domínios das fontes de
  conhecimento; caso contrário, o rascunho não é criado,
- a **assinatura** precisa estar inteira no rascunho; caso contrário, o
  rascunho não é criado,
- um rascunho não pode começar com o nome técnico do assistente (pareceria uma
  instrução do proprietário),
- **limites** por dia, por remetente e por verificação freiam uma enxurrada.

## O que nunca é possível

- **Nada é enviado.** O registro de aplicativo não tem a permissão `Mail.Send`
  e o draften não tem nenhuma chamada de envio. Você vê cada rascunho antes de
  enviá-lo você mesmo.
- **Nada é apagado.** O assistente não apaga nada na caixa de e-mail.
- Os sistemas conectados (CRMs) **só leem**, e só sobre os participantes da
  conversa.
- Os endereços que o assistente busca (links, sites com guias) precisam ser
  públicos – uma fonte nunca alcança a rede interna do servidor.

## O que a defesa não cobre

O conteúdo do próprio texto do rascunho – e um atacante que escreve o próprio
endereço no corpo do e-mail (a verificação do destinatário o encontra ali).
Para um rascunho que uma pessoa aprova, isso é aceitável; para um envio
automático não seria – mais um motivo pelo qual o draften nunca envia.

Veja também [A rede de segurança](/pt/admin/safety-net).