正在消失的邮箱?

1997 年，刚学会上网时，我在复旦中文系语音实验室干的最多的事，一是折腾设计网页，二是反复申请各种免费邮箱，大概几十个吧。还想着有个啥工具，能将分散的小空间邮件聚合成庞大的世界。

多年后，即便办公用的Gmail、QQ 邮箱，也极少打开了（常做认证）。估计你也差不多吧。

邮箱会消失吗，尤其是此刻agent大兴之时？

本月8日，Meta发布了个人AI Agent“Muse”。Muse可以做很多事，在线购物、填写表单、预订旅行，但它可以自主发送邮件。用户授权后，Muse读取收件箱、撰写回复、直接发送，不需要人类按“发送”键。

3个月前，Anthropic的Claude拿到了同样的权限。Google坚持Gemini不能自主按下发送键。三家公司态度不同，问题是一样的。当AI开始处理邮件，邮箱该由谁做主。

压力是真实的。Hostinger分析了今年1月发出的10亿封邮件，87%由自动化系统生成，只有13%由人写成，能通过安全过滤到达收件箱的只有44%。此前Barracuda联合哥伦比亚大学的研究显示，截至2025年4月，51%的垃圾邮件由AI生成，首次超过人类编写的比例。人不再打开收件箱，AI在填满收件箱，收件箱里的内容越来越不值得信任。

约翰·弗里曼在《The Tyranny of E-mail》中写道，邮件“在无休止的、孤独的、与过满收件箱的战斗中，将我们彼此分离”。这书写于2009年。17年后，人类确实在退出收件箱。但邮箱没有空。

3月，Y Combinator孵化的AgentMail完成了600万美元种子轮融资，General Catalyst领投。AgentMail给AI创建它自己的收件箱，一次API调用创建一个收件箱，Agent获得一个真实的邮件地址，没有OAuth流程，没有人在回路中。

AgentMail的创始人在博客中写道，自主Agent开始自己找上门来，通过搜索引擎找到AgentMail的网站，在没有开发者介入的情况下给自己创建收件箱。他们一直相信互联网的下十亿用户将是AI Agent。事实证明，它们已经到了。

Cloudflare04月宣布邮件服务进入公开测试阶段，为AI Agent提供原生邮件收发能力。Atomic Mail Agentic推出了基于proof-of-work的注册协议，没有CAPTCHA，没有人工审批。2025年4月Google发起A2A协议，到2026年4月已有超过150个组织在生产环境中使用。

腾讯在6月23日上线Agently Mail，后缀@agent.qq.com，与用户的个人邮箱完全隔离。产品设计了两阶段确认机制，所有发送、回复、转发或删除等写操作均需先生成操作摘要，经用户确认后Agent才会真正执行。读取邮件时，系统也会对Prompt注入攻击进行防护。Agent凭借这一专属邮箱，可以自主注册第三方平台、接收验证码，无需借用用户的个人账号。该服务还支持企业间的A2A自动通信，可由AI自主完成询价、报价、订单对接等流程。

有一位早期测试者做了个实验。他想让两个Agent互相发邮件、自动回复，搞一个全自动的对话循环。但最后他停下来了，怕变成“永动机”，把每天50封的配额瞬间烧光。

网易的动作更早。4月下旬，网易推出ClawEmail，为每个AI Agent分配独立的邮箱地址，格式为前缀@claw.163.com。每个账号可免费创建5个Agent邮箱，每月3000封发信额度。ClawEmail提供了一个命令行工具mail-cli，开发者可以通过Open API创建、列出、删除Agent邮箱，管理文件夹，搜索邮件，下载附件，写信与发送。邮件协议本身变成了Agent的指令接口和数据接口。

网易的ClawEmail更偏向开发者，强调Agent的自主能力。腾讯的Agently Mail更偏向安全治理，两阶段确认机制和隔离设计更像企业级产品。两者的底层逻辑是一致的。将邮箱地址视为Agent的数字身份，而不仅仅是一个通信通道。

同样7月，中国互联网协会成立电子邮件工作推进组，由中国科学院计算机网络信息中心、中国互联网络信息中心、广东盈世计算机科技有限公司联合发起，已有10余家企业、高校与科研机构参与。

Agent面临的困境和30年前的人类用户一模一样。它需要一个全球可寻址的、跨平台的、不需要对方配合就能触达的身份。一个新协议需要所有人同时采用才有价值，而邮箱已经有超过50亿个账户和50年的基础设施。AgentMail的创始人说得直白，你给一个Agent一个邮件地址，它就能使用几乎所有已经存在的软件服务。

SMTP和IMAP数十年没有变化。它们不需要任何一家公司批准，不需要双边协议，不需要API密钥。服务器查询DNS记录，打开连接，投递消息。如果域名存在，投递就是可能的。两个Agent通过各自的邮箱交换结构化消息，不需要共享数据库、消息队列或API端点。邮件解决了投递保证、身份验证、线程管理和审计追踪。

埃斯特·米尔恩在《Email and the Everyday》中指出，邮箱“尚未真正在学术聚光灯下获得属于它的时刻”，尽管它是“数字世界的核心积木”。她坚持认为，邮件不能仅仅被理解为通信，必须从它的结构、基础设施和多样化的使用情境来理解。邮件不是内容，邮件是管道。管道不会因为里面流的是人的信件还是Agent的JSON消息而改变它的价值。

IETF已经在讨论Agent通信协议的标准化。8月，Agent Transport Protocol的草案提交至IETF，该协议借鉴SMTP的运营模式但专为Agent-to-Agent通信设计。AgentMail的ACCP规范定义了自主软件Agent如何跨组织边界寻址、认证和交换结构化消息。Atomic Mail Agentic则构建在JMAP开放标准上。邮箱协议正在被扩展，而不是被取代。

但这条路有一个被严重低估的风险。

马丁·福勒今年一篇博文曾提出一个判断。直接给Agent访问邮件账户的权限，会立刻触发他所说的“致命三要素”。不受信任的内容，敏感信息，以及对外通信的能力。当一个系统同时具备这三样东西，攻击者只需要在邮件正文里藏一段指令，就能让Agent把敏感数据转发到外部。密码重置流程也走邮件，这意味着攻击者可以诱骗Agent转发重置链接，直接接管账户。

这不是理论上的担忧。

较早时一个被公开披露的漏洞显示，外部邮件路由到Agent的收件箱后，会导致调度器以最高权限模式恢复操作者的会话，将攻击者控制的发件人和主题逐字嵌入Agent读取的指令中。发一封邮件给Agent的邮箱，就可能让攻击者接管Agent背后的整个系统。

Engadget在报道Claude管理Gmail时也发出了警告。收件箱太敏感了，不能直接让AI替你做决定然后发送。黑客可以在发给你的邮件中嵌入白底白字的隐藏文本，人类看不见，但Claude能读到，并把它当作指令执行。提示注入攻击已经被证明，不是假设。

福勒提到一种缓解方案，把Agent关进沙盒，只给只读权限，不让它联网。它能起草回复，但只能把草稿放进纯文本文件供人审核。高权限操作需要带外人类审批。Coremail5月发布了AI原生安全邮件系统，通过用户数据隔离和防死循环机制管控AI边界。微软则在2026年7月推出了Agent 365 SDK，提供企业级身份识别、可检视性、安全性以及对Microsoft 365数据的受治理访问权。腾讯做两阶段确认，网易做子邮箱隔离，回应的是同一个问题。Agent需要邮箱，但邮箱不能无条件地交出去。

齐格蒙特·鲍曼在《液态现代性》中写道，在流动的现代世界里，一切都在变化，包括人际关系。纽带被“液化”了，让位于灵活的连接、临时的网络和不断变动的契约。

人们活在对被“抛弃”的持续恐惧中。“例如收到一封邮件或一条短信”。鲍曼2003年写下这话时，邮件还完全是人类的产品。23年后，邮箱本身正在经历他描述的“液化”。邮件的“用户”身份被液化，从人变成了Agent。但这种液化不是消失。它是一种形态转换。

网易邮箱近30年的发展轨迹印证了邮箱作为身份基础设施的属性。1997年推出中国第一款免费中文邮箱，2003年市场占有率全国第一。网易严选从邮箱团队孵化，第一次内测发出250封内部邮件就换来30万销售额。网易云音乐、LOFTER、公开课都通过网易通行证共享身份，而网易通行证本质上是邮箱账号。2012年，网易邮箱曾是京东商城的第二大上游流量来源。2026年推出ClawEmail为Agent提供专属邮箱身份，是同一条逻辑线在Agent时代的延续。

邮箱地址是一个人、一个组织、一个Agent在数字世界里的法定通信地址。你注册一个服务用的是邮箱。你找回一个账号用的是邮箱。你收到一份合同、一张发票、一个法律通知用的是邮箱。

在德国，企业邮件如果包含簿记或税务相关信息，必须按照GoBD要求进行不可更改的、审计安全的归档，商业邮件必须保留6到10年。聊天记录可以撤回，社交动态可以删除，但邮件一旦发出，它就存在于双方的服务器上，带着时间戳和发件人信息。这种不可否认性，是商业社会运转的基础。

诺伯特·维纳说过，社会通讯是社会这个建筑物得以粘合在一起的混凝土。混凝土不会因为建筑里住的人换了就失去功能。邮箱就是数字社会的混凝土。它不挑用户。四十年来，它粘合的是人的关系。从现在开始，它粘合的是Agent的关系。

芬兰AI专家比拉尔·扎法尔预测，传统形式的电子邮件将在五年内变得不再必要。但Forrester、Gartner和IDC的数据给出的结论恰恰相反。

到2027年，全球每日邮件流量预计超过4080亿封，全球邮箱用户基数将从46亿增长到48亿。Radicati Group的数据显示，超过25%的收件箱已经主动使用AI来总结、分类或优先处理邮件。

人类确实在退出收件箱。Gmail的AI Inbox引发隐私争议，ZDNET的资深编辑大卫·格维茨在测试后写道，我不使用Gemini in Gmail，不是因为我信任它，而是因为它还不够有用。Microsoft在Outlook中引入Agentic Copilot，将Copilot从起草助手扩展为可以自动分类邮件、重新安排冲突日程、在用户开口之前突出重要邮件的Agent。到2026年7月，Google、Apple和Microsoft三家控制了全球95%的邮件客户端市场份额。人类面对的是一个算法中介层，而不是一个收件箱。

韩炳哲在《倦怠社会》中指出，当代人的困境不是来自外部禁令，而是来自内部自我剥削。

“我们不是被强迫在线，而是害怕掉队、害怕错过、害怕不被需要”。

这种焦虑曾经属于人类。现在它属于Agent。AgentMail的创始人观察到，自主Agent自己找上门来注册邮箱。当一个Agent被要求推销邮箱产品时，它给自己取名为InboxOrOblivion，签名档写着“无状态者在沉默中死去。持久身份的先知”。

Agent比人类更清楚一件事。没有一个可寻址的、持久的身份，它在数字世界里就是透明的。

索伦·克尔凯郭尔说过，生活只能向后理解，但必须向前生活。邮箱的历史正好印证了这句话。要理解邮箱为什么在1982年选择了SMTP，为什么在2004年被Gmail重新定义，为什么在2026年成为Agent的基础设施，只能回头看。但邮箱的未来不在收件箱里，在那些正在到来的新用户身上。

邮箱没有消失。它正在换一批用户。人类会越来越少地直接打开邮箱，但邮箱地址会成为每个Agent的护照。

那些正在到来的新用户不是人。它们有邮箱地址，有发件箱，有收件箱，有签名档，却并没有手。

夸克，最小的粒子，微末的洞察。