EmailXpose

# EmailXpose 规格说明
**AI 驱动的电子邮件清晰度分析**
- HTML 镜像：[https://roxanneardary.com/emailxpose-specification/](https://roxanneardary.com/emailxpose-specification/)

---

## 规格概述

EmailXpose 是一个开源、模块化的 AI 电子邮件安全与情报系统，旨在分析电子邮件内容、发件人身份、链接、附件、图片和视频，以识别网络钓鱼、垃圾邮件、诈骗、恶意软件、社会工程、欺骗行为及上下文异常。

EmailXpose 将传统电子邮件安全分析与自然语言处理、计算机视觉、多模态智能、行为分析、威胁情报和符号学解读相结合。该系统旨在解释其发现，而非仅仅给出威胁分类。

该架构应支持本地优先和离线运行、模块化 AI 模型、可配置的检测策略、人工审查、可扩展的威胁情报以及可选插件，无需用户依赖特定供应商或云服务提供商。

## 设计原则

- 开源实现
- 模块化架构
- 本地优先处理
- 支持离线分析
- 隐私保护运行
- 不自动执行不可信的电子邮件内容
- 人在回路决策机制
- 可解释 AI
- 多模态分析
- 供应商中立集成
- 可替换的 AI 模型
- 可配置的检测策略
- 可扩展的插件架构
- 可复现的分析
- 默认安全行为

---

## 核心系统要求

EmailXpose 应提供统一的分析流水线，能够接收来自本地文件、邮箱、支持的协议、API 或兼容集成的电子邮件消息。

系统应将摄取、标准化、分析、评分、解释、存储和展示分离为独立模块。

每个分析组件应生成结构化发现，可被独立评估、组合、展示、导出或传递给另一个分析模块。

系统绝不应直接在主机系统上执行不可信的电子邮件附件。

---

## 核心模块

### 电子邮件摄取模块

电子邮件摄取模块应提供将电子邮件消息安全导入 EmailXpose 的机制。

功能：

- IMAP 电子邮件摄取
- SMTP 兼容消息处理
- 本地电子邮件文件导入
- MIME 消息解析
- 多部分消息处理
- HTML 电子邮件提取
- 纯文本提取
- 嵌入内容提取
- 附件识别
- 消息元数据提取
- 消息标准化
- 重复消息检测
- 消息完整性跟踪
- 可配置的邮箱扫描

该模块应将标准化后的电子邮件对象传递给下游分析模块，且不执行活动内容。

### 电子邮件头取证模块

电子邮件头取证模块应检查与电子邮件投递和身份验证相关的技术元数据。

功能：

- 完整邮件头检查
- SPF 分析
- DKIM 分析
- DMARC 分析
- 身份验证结果分析
- Return-Path 检查
- Reply-To 分析
- 发件人与收件人关系分析
- 显示名称不匹配检测
- Received 邮件头分析
- 路由异常检测
- 域名对齐分析
- 欺骗指标
- 身份验证置信度评分
- 邮件头时间线生成

该模块应生成结构化的身份验证和路由发现，可纳入整体威胁评估。

### 发件人身份与信任模块

发件人身份与信任模块应评估表面发件人是否与已知身份和组织关系一致。

功能：

- 发件人身份档案
- 发件人信任评分
- 已知联系人识别
- 首次发件人检测
- 可信域名识别
- 发件人行为历史
- 显示名称冒充检测
- 高管冒充检测
- 联系人冒充检测
- 组织身份验证
- 发件人关系映射
- 发件人身份图谱生成
- 相似发件人检测

该模块应支持本地信任信息，无需集中收集用户联系人。

### 域名情报模块

域名情报模块应分析与发件人、链接、重定向和嵌入内容相关的域名。

功能：

- 域名信誉分析
- 域名年龄分析
- 新注册域名检测
- 相似域名检测
- 同形字攻击检测
- IDN 攻击检测
- 可疑子域名检测
- 域名关系分析
- 域名一致性检查
- 组织域名验证
- IP 信誉分析
- 域名威胁评分

该模块应支持可替换和可配置的情报源。

### 链接分析模块

链接分析模块应检查 URL，而无需用户打开它们。

功能：

- URL 提取
- URL 标准化
- 目标地址分析
- 重定向链检查
- URL 缩短分析
- 可疑参数检测
- 编码 URL 检测
- 域名不匹配检测
- 显示链接与目标地址对比
- 恶意域名检测
- 钓鱼 URL 模式检测
- 链接信誉评分
- 安全链接检查

链接分析应在受控的网络和安全边界内进行。

### 威胁情报模块

威胁情报模块应将 EmailXpose 的发现与可用的威胁情报相关联。

功能：

- 威胁源集成
- 已知恶意域名匹配
- 已知恶意 URL 匹配
- IP 信誉
- 钓鱼活动指纹识别
- 恶意软件指标匹配
- 诈骗模式匹配
- 威胁签名匹配
- 新兴威胁识别
- 威胁情报关联
- 本地威胁数据库支持
- 社区威胁情报支持

威胁情报源应为可选且可替换的。

### 自然语言分析模块

自然语言分析模块应分析电子邮件内容的语义和语言特征。

功能：

- 文本分类
- 语义分析
- 意图分类
- 实体识别
- 可疑短语检测
- 钓鱼语言检测
- 诈骗语言检测
- 垃圾邮件分类
- 凭据请求检测
- 付款请求检测
- 敏感信息请求检测
- 语义相似性分析
- 写作风格分析
- 语言识别
- 多语言分析
- AI 生成内容指标

该模块应支持多种模型，并允许在不重新设计核心应用的情况下替换模型。

### 行为与心理分析模块

行为与心理分析模块应识别消息中的社会工程和操纵模式。

功能：

- 紧迫性检测
- 恐惧型说服检测
- 权威施压检测
- 情感操纵检测
- 奖励操纵检测
- 威胁型说服检测
- 社会工程分析
- 胁迫指标
- 施压策略
- 孤立策略
- 虚假稀缺性检测
- 人为截止日期检测
- 保密请求
- 异常行为请求
- 语气分析
- 语气转变检测
- 写作风格异常检测
- 可能的账户被盗指标

发现应以概率性指标呈现，而非对发件人心理状态或意图的确定性陈述。

### 诈骗与欺诈检测模块

诈骗与欺诈检测模块应识别与欺诈性通信相关的模式。

功能：

- 虚假发票检测
- 支付欺诈检测
- 商业电子邮件入侵检测
- 投资诈骗检测
- 招聘诈骗检测
- 政府冒充检测
- 金融机构冒充
- 技术支持诈骗
- 快递诈骗
- 订阅诈骗
- 慈善诈骗
- 预付费欺诈指标
- 情感诈骗指标
- 敲诈勒索和性勒索指标
- 凭据窃取活动
- 账户恢复诈骗
- 身份盗窃模式

该模块应支持持续更新的检测规则和机器学习模型。

### 垃圾邮件检测模块

垃圾邮件检测模块应识别未经请求和低价值的电子邮件。

功能：

- 基于内容的垃圾邮件检测
- 基于发件人的垃圾邮件检测
- 基于信誉的垃圾邮件检测
- 活动聚类
- 重复消息检测
- 批量消息指标
- 广告模式检测
- 可疑群发行为
- 用户反馈集成
- 个性化垃圾邮件分类

### 恶意软件与附件防御模块

恶意软件与附件防御模块应检查附件和潜在危险内容，而无需在主机系统上执行它们。

功能：

- 附件隔离
- 文件类型识别
- 扩展名伪装检测
- 静态恶意软件分析
- 压缩包检查
- 嵌套压缩包检查
- 可执行文件检测
- 宏检测
- 脚本检测
- 恶意文档分析
- PDF 威胁分析
- Office 文档分析
- 混淆检测
- 载荷指标
- 文件元数据检查
- 哈希生成
- 恶意软件签名匹配
- 隔离沙箱分析
- ClamAV 集成
- 可配置的恶意软件分析引擎

所有潜在可执行内容应保持隔离，直到用户或授权的安全工作流明确释放。

### 图像分析模块

图像分析模块应分析嵌入在电子邮件中或作为附件提供的图像。

功能：

- 图像分类
- 目标检测
- 视觉相似性分析
- 徽标识别
- 品牌识别
- 图像真实性指标
- 图像篡改指标
- OCR
- 隐藏文本检测
- 元数据检查
- 可疑视觉模式检测
- 图像上下文分析
- 图像与电子邮件语义对比
- 图像与文本对齐
- 误导性图像检测

### 品牌与徽标伪造检测模块

品牌与徽标伪造检测模块应识别对组织、产品、服务和可信品牌的视觉冒充。

功能：

- 徽标识别
- 徽标相似性分析
- 篡改徽标检测
- 虚假企业品牌检测
- 金融品牌冒充
- 政府品牌冒充
- 零售品牌冒充
- 科技品牌冒充
- 品牌文本一致性分析
- 品牌域名一致性分析
- 视觉身份不匹配检测

### 视频分析模块

视频分析模块应检查附加到电子邮件或嵌入其中的视频内容。

功能：

- 视频元数据检查
- 帧提取
- 关键帧选择
- 场景分析
- 帧异常检测
- 视觉文本对比
- 视频与电子邮件上下文对比
- 篡改指标
- 误导性媒体检测
- 视频帧 OCR
- 支持情况下的音频转录
- 多模态视频解读

视频分析应通过隔离的处理环境运行。

### 隐藏内容与隐写分析模块

隐藏内容与隐写分析模块应识别媒体中隐藏信息的指标。

功能：

- 隐藏文本检测
- 低对比度文本检测
- 基于 OCR 的提取
- 可疑图像元数据检测
- 隐写指标
- 嵌入内容异常检测
- 隐藏 URL 检测
- 编码内容指标
- 异常图像结构分析
- 附件元数据分析

该模块应识别指标和异常，而不应仅因信息被隐藏就声称其具有恶意性。

### 符号与上下文解读模块

符号与上下文解读模块应分析电子邮件文本和媒体中的符号及上下文含义。

功能：

- 符号检测
- 符号分类
- 上下文符号分析
- 视觉符号解读
- 文本符号分析
- 文化符号映射
- 心理符号映射
- 情感符号分析
- 权威符号检测
- 恐惧与威胁符号
- 信任符号
- 财务符号
- 品牌符号分析
- 相关文化或政治符号识别
- 符号与上下文关系映射
- 上下文含义分析

该模块应区分检测到的符号与推断的解读，并在解读存在歧义时传达不确定性。

### 叙事意图模块

叙事意图模块应分析消息似乎在试图传达、说服、鼓励或促使收件人做什么。

功能：

- 叙事意图建模
- 说服性叙事分析
- 请求行为提取
- 隐含行为检测
- 行为目标识别
- 操纵模式关联
- 情感框架分析
- 权威框架
- 奖励框架
- 威胁框架
- 保密框架
- 建立信任叙事分析
- 意图置信度评分

该模块应将推断的意图作为分析性评估报告，而非对发件人私下动机的事实性判定。

### 上下文漂移模块

上下文漂移模块应识别电子邮件不同组件之间的矛盾。

功能：

- 文本与图像对比
- 文本与视频对比
- 文本与附件对比
- 发件人与内容一致性
- 品牌与域名一致性
- 主题与正文一致性
- 附件与消息一致性
- 声称的组织与视觉身份一致性
- 叙事一致性分析
- 语义矛盾检测
- 多模态异常检测

### 多模态智能模块

多模态智能模块应结合文本、图像、视频、附件、发件人、链接和符号分析的发现。

功能：

- 文本-图像融合
- 文本-视频融合
- 文本-附件融合
- 发件人-内容融合
- 视觉-意图融合
- 多模态异常检测
- 跨模态矛盾检测
- 语义对齐分析
- 统一意图图谱
- 组合证据评估
- 多模态置信度评分

### 风险评分模块

风险评分模块应将各分析模块的发现组合成透明的评估。

功能：

- 整体威胁评分
- 钓鱼概率
- 垃圾邮件概率
- 诈骗概率
- 恶意软件概率
- 社会工程评分
- 发件人风险评分
- 域名风险评分
- 链接风险评分
- 附件风险评分
- 媒体风险评分
- 上下文异常评分
- 符号异常评分
- 组合威胁评分
- 可配置阈值
- 用户定义策略
- 组织定义策略
- 证据加权评分

评分系统应保留各独立贡献因素，以便用户理解最终评估是如何产生的。

### 可解释性模块

可解释性模块应将分析发现转化为可理解的证据。

功能：

- 标记原因解释
- 可疑短语高亮
- 可疑链接高亮
- 可疑附件高亮
- 邮件头异常解释
- 发件人风险解释
- 视觉异常解释
- 符号解释
- 行为分析解释
- 风险因素分解
- 基于证据的评分
- 置信度指标
- 人类可读报告
- 分析师导向报告

### 威胁调查模块

威胁调查模块应提供深入检查可疑消息的工具。

功能：

- 电子邮件取证工作区
- 消息重建
- 邮件头时间线
- 链接调查
- 附件调查
- 发件人调查
- 域名调查
- 媒体调查
- 证据收集
- 相关消息发现
- 活动关系映射
- 威胁时间线可视化
- 调查笔记
- 可导出报告

### 威胁活动检测模块

威胁活动检测模块应识别多条可疑消息之间的关系。

功能：

- 电子邮件活动聚类
- 相似消息检测
- 模板指纹识别
- 发件人聚类
- 域名聚类
- URL 聚类
- 附件指纹识别
- 重复诈骗检测
- 活动演变跟踪
- 相关威胁关联
- 新兴活动检测

### 用户情报模块

用户情报模块应允许 EmailXpose 基于用户反馈和本地存储的偏好提高相关性。

功能：

- 个性化威胁档案
- 本地发件人记忆
- 本地信任列表
- 本地阻止列表
- 用户反馈学习
- 误报反馈
- 漏报报告
- 个性化威胁趋势
- 收件箱威胁热力图
- 威胁历史
- 每日威胁摘要
- 每周威胁报告
- 重复威胁识别
- 个性化安全建议

用户情报应受可配置的隐私和保留控制约束。

### 隐私与安全模块

隐私与安全模块应在整个应用中强制执行隐私保护和安全管理。

功能：

- 本地优先处理
- 离线分析
- 可选云处理
- 用户控制的数据共享
- 数据最小化
- 加密本地存储
- 安全模型执行
- 附件隔离
- 零点击附件处理
- 可配置数据保留
- 可配置分析保留
- 本地威胁数据库
- 隐私保护威胁报告

### 报告与可视化模块

报告与可视化模块应向用户和安全分析师呈现分析结果。

功能：

- 收件箱风险仪表板
- 单封电子邮件分析
- 威胁严重性指标
- 交互式风险评分
- 可疑内容高亮
- 邮件头取证查看器
- 附件检查面板
- 媒体分析面板
- 符号分析面板
- 威胁时间线
- 发件人信任档案
- 域名情报面板
- 威胁历史仪表板
- 调查工作区
- 可配置警报
- 可导出分析报告

### API 模块

API 模块应提供对 EmailXpose 功能的编程访问。

功能：

- REST API
- 电子邮件提交端点
- 分析端点
- 威胁评分端点
- 发件人情报端点
- 域名情报端点
- 附件分析端点
- 媒体分析端点
- 威胁报告端点
- 配置端点
- 健康与状态端点
- Webhook 支持
- 身份验证控制
- 速率限制
- API 审计日志

---

## 可选插件模块

可选插件应扩展 EmailXpose，而无需更改核心分析架构。

### 外部威胁情报插件

提供与外部威胁情报服务和源的可选集成。

能力：

- 外部 URL 信誉
- 外部域名信誉
- 外部 IP 信誉
- 恶意软件情报
- 钓鱼情报
- 威胁源同步

### VirusTotal 集成插件

提供与 VirusTotal 或兼容外部分析服务的可选集成。

能力：

- URL 信誉查询
- 文件哈希查询
- 域名情报
- IP 情报
- 可选文件分析工作流

外部服务应保持禁用状态，除非用户明确配置。

### ClamAV 插件

通过 ClamAV 提供本地防病毒扫描。

能力：

- 文件扫描
- 压缩包扫描
- 签名匹配
- 恶意软件检测
- 本地签名更新

### 沙箱插件

为授权的安全工作流提供隔离执行分析。

能力：

- 一次性分析环境
- 文件行为监控
- 进程监控
- 网络活动监控
- 文件系统活动监控
- 行为指标
- 沙箱报告

### 高级视觉模型插件

提供额外的计算机视觉和视觉语言模型。

能力：- 替代图像模型
- 替代视觉语言模型
- Logo 识别
- 目标检测
- 图像相似度
- 视觉推理

### 高级视频智能插件

提供额外的视频处理能力。

功能：

- 高级帧分析
- 场景分类
- 时间分析
- 音频转录
- 视频语义分析
- 视频篡改指标

### 符号学知识库插件

提供可扩展的符号与情境知识。

功能：

- 符号字典
- 文化背景数据库
- 视觉符号关系
- 历史符号参考
- 心理学符号参考
- 领域特定符号学

该插件应区分事实性引用与模型生成的解读。

### 社区威胁情报插件

提供可选的社区驱动情报共享功能。

功能：

- 匿名威胁指纹
- 社区钓鱼指标
- 共享诈骗模式
- 威胁签名共享
- 新兴活动信息
- 社区信誉信号

参与应为自愿选择。

### SIEM 集成插件

提供与安全信息和事件管理平台的可选集成。

功能：

- 事件转发
- 威胁告警
- 结构化安全事件
- 调查标识符
- 风险评分
- 证据引用

### 邮件客户端集成插件

提供与受支持的桌面或浏览器邮件客户端的可选集成。

功能：

- 消息分析
- 内联威胁指标
- 用户触发的扫描
- 分析摘要
- 隔离工作流
- 安全释放工作流

### 组织策略插件

提供可配置的组织安全策略。

功能：

- 自定义风险阈值
- 域名白名单
- 域名黑名单
- 发件人策略
- 附件策略
- 链接策略
- 数据保留策略
- 报告策略
- 安全团队工作流

### 自定义 AI 模型插件

允许用户和组织提供兼容的 AI 模型。

功能：

- 自定义钓鱼分类器
- 自定义垃圾邮件分类器
- 自定义恶意软件分类器
- 自定义语言模型
- 自定义视觉模型
- 自定义符号学模型
- 自定义嵌入模型
- 模型版本管理
- 模型评估

---

## AI 模型架构

EmailXpose 应采用与模型无关的架构。

AI 模型应可替换，而无需修改周围的分析模块。

支持的模型类别可包括：

- 基于 Transformer 的语言模型
- 文本分类器
- 嵌入模型
- 视觉语言模型
- 图像分类器
- 目标检测模型
- 视频模型
- OCR 模型
- 音频转录模型
- 恶意软件分类模型

模型应向分析流水线暴露一致的接口。

---

## 安全要求

EmailXpose 应：

- 将所有入站邮件视为不可信输入
- 绝不自动执行邮件附件
- 隔离潜在危险文件
- 净化渲染后的 HTML
- 在分析期间防止不安全的 URL 激活
- 独立于扩展名验证文件类型
- 限制媒体处理期间的资源消耗
- 防范恶意构造的文件
- 保护分析服务免受解析器漏洞利用
- 维护可配置的审计记录
- 提供安全的故障行为
- 将特权操作与普通分析分离
- 应用最小权限原则
- 支持安全的模型执行

## 隐私要求

EmailXpose 应优先保障用户对邮件数据的所有权。

系统应支持：

- 仅本地运行
- 离线分析
- 可配置存储
- 可配置保留期
- 用户控制的外部集成
- 可选的匿名威胁共享
- 明确的外部服务配置
- 数据最小化
- 安全删除
- 敏感内容的本地处理

除非用户或管理员已明确启用相应的集成，否则任何外部服务均不得接收邮件内容。

## 人工监督

EmailXpose 不得将 AI 分类表示为绝对无误的判定。

系统应：

- 显示置信度级别
- 保留支持性证据
- 解释主要风险因素
- 允许用户审查发现结果
- 支持误报报告
- 支持漏报报告
- 允许授权用户覆盖分类结果
- 保留覆盖信息
- 区分自动化发现与人工决策

## 配置

EmailXpose 应为以下方面提供可配置的控制：

- 威胁阈值
- 分析模块
- AI 模型
- 威胁情报来源
- 附件处理
- 沙箱策略
- 数据保留
- 隐私设置
- 外部集成
- 用户信任规则
- 组织策略
- 告警级别
- 报告偏好

## 可扩展性

该架构应允许将新的分析能力作为独立模块或插件添加。

新模块应能够：

- 接收规范化后的邮件数据
- 分析特定内容类型
- 生成结构化发现结果
- 为风险评分提供证据
- 提供可解释性信息
- 注册可配置设置
- 独立于其他模块运行
- 在不修改无关模块的情况下启用或禁用

## 互操作性

EmailXpose 应在可行的情况下使用开放且广泛支持的格式和接口。

系统应支持：

- 标准邮件格式
- 标准 MIME 结构
- 标准身份验证机制
- REST API
- 基于 JSON 的分析结果
- 可移植的威胁指标
- 可导出的报告
- 可互操作的威胁情报格式

## 分析结果模型

每个分析结果应在适用时包含：

- 分析类型
- 分类
- 置信度
- 严重性
- 证据
- 来源模块
- 时间戳
- 相关实体
- 建议操作
- 解释
- 模型信息
- 检测规则信息

合并后的结果应保留各单项发现与最终风险评估之间的关系。

---

## 规范品牌许可（SBL）
### 标准
- 完全符合 AGPL-3.0+ 的系统
- 对网络部署强制执行 Copyleft
- 必需的署名：
  - Roxanne Ardary
  - https://www.roxanneardary.com/

### 可选

- **规范品牌许可（SBL）**
  - 免署名的商业部署
  - 定价基于规模、使用量和部署范围
  - [https://roxanneardary.com/emailxpose/](https://roxanneardary.com/emailxpose/)

---


## 许可与声明要求

EmailXpose 根据 **GNU Affero 通用公共许可证 v3.0 或更高版本（AGPL-3.0+）** 发布。   
通过向本项目贡献代码，您同意您的贡献也将根据该许可证发布。

请注意以下事项：

- 所有贡献必须符合 **AGPL-3.0+** 条款。  
- 根据许可证的**第 7 节**，所有再分发、分支和衍生作品必须保留对以下对象的署名：  
  **Roxanne Ardary** 和 **[roxanneardary.com](https://www.roxanneardary.com/)**。  
- EmailXpose 规范可免费使用，但需注明出处。可根据请求协商规范品牌许可。
- 项目的 **notice.md** 文件跟踪署名要求和贡献者致谢。   
  任何添加新贡献者或修改署名的更新也应更新 `notice.md`。
- 提交拉取请求时，请确保任何新文件在适用处保留署名头。
- 本软件的网络部署版本也必须完全符合 AGPL-3.0+，包括在许可证适用时公开源代码修改。

有关完整的法律细节，请参阅 AGPL-3.0+ 许可证和项目的 `notice.md` 文件。

**Open Arsenal Hub**  
[https://gitlab.com/Roxanne_Ardary/open-arsenal-specs](https://gitlab.com/Roxanne_Ardary/open-arsenal-specs)