Baryon — Proton Mail via Bridge

Baryon MCP

Proton Mail とお好みの AI をつなぐ、ローカルで権限を制限したブリッジ

Baryon は、ローカルの Proton Mail Bridge を介して、MCP 対応の AI アシスタントを Proton Mail に接続します。

アシスタントでメールを検索して読んだり、会話の内容を把握したり、添付ファイルを扱ったり、確認用の下書きを作成したりできます。Baryon からメールを送信したり、通常のメッセージを移動または削除したり、メッセージを既読にしたりすることはできません。

Baryon はホスト型サービスではありません。メールの内容を受け取る MCP クライアントと AI モデルは、ご自身で選択できます。

重要

Baryon と Proton Mail Bridge はローカルで動作しますが、AI はローカルで動作するとは限りません。

Baryon を通じて要求されたメールの内容は MCP クライアントに返され、そのクライアントが使用するモデルに渡されることがあります。ローカルモデルまたはセルフホスト型モデルを使用する場合、クライアントの設定によっては、ご自身が管理するインフラストラクチャ内で処理を完結できます。ホスト型サービスを使用する場合、選択したメールの内容がそのプロバイダーに送信されます。

たとえば、ホスト型の Claude または Codex モデルで Baryon を使用すると、要求したメールの内容はそれぞれ Anthropic または OpenAI のインフラストラクチャに送信されます。メールボックスに接続する前に、クライアントとプロバイダーのプライバシーおよびデータ保持に関する規約をご確認ください。

できること

• テキスト、送信者、受信者、件名、日付、未読状態でメッセージを検索します。
• メールまたは会話全体を読みます。
• 添付ファイルを確認、取得、保存します。
• Proton Mail の新規メッセージの下書きを作成します。
• 添付ファイルと埋め込み画像を含めて、メッセージを下書きとして転送します。
• Proton Mail で下書きを確認、編集し、ご自身で送信します。

たとえば、アシスタントに次のように依頼できます。

今月受信した更新のお知らせを検索して、価格の変更点を要約してください。

Alice との会話を読んで、丁寧なフォローアップの下書きを作成してください。

Acme からの最新メッセージに添付された PDF 請求書を検索して、ローカルに保存してください。

このサポートスレッドを要約し、未解決の質問に答える返信の下書きを作成してください。

便利なアクセスと意図的な制限

既存の下書きを置き換える場合、Baryon は以前の下書きのコピーを削除する前に、置き換え後の下書きを保存します。Baryon には、受信または送信した通常のメッセージを削除するツールはありません。

仕組み

Proton Mail
    │
    ▼
Proton Mail Bridge       local
    │
    ▼
Baryon                   local
    │
    ▼
Your MCP client
    │
    ├── Local model      can stay on infrastructure you control
    │
    └── Hosted model     content is sent to its provider

Baryon は、お使いのコンピューター上の Proton Mail Bridge とのみ通信します。Bridge の認証情報をループバックアドレス以外に送信することを拒否し、既定ではエクスポートされた TLS 証明書を使って Bridge を検証します。

開始する前に

以下が必要です。

• Proton Mail Bridge がインストールされ、サインイン済みで、実行されていること。
• stdio 経由でローカル MCP サーバーを起動できる MCP クライアント。
• Bridge のメールボックス設定に表示される IMAP ユーザー名と生成されたパスワード。
• 接続を検証するための、Bridge からエクスポートした TLS 証明書。

通常の Proton アカウントのパスワードではなく、Bridge が生成したパスワードを使用してください。Proton Mail Bridge の Settings → Advanced settings → Export TLS certificates から cert.pem をエクスポートしてください。

インストール

1. バイナリをインストールする

macOS：

brew install --cask combor/tap/baryon-mcp

Windows（Scoopを使用）：

scoop bucket add combor https://github.com/combor/scoop-bucket
scoop install combor/baryon-mcp

Nix（パッケージリポジトリから）：

nix-env -f https://github.com/combor/nur/archive/main.tar.gz -iA baryon-mcp

Arch Linux — AUR の baryon-mcp-bin：

yay -S baryon-mcp-bin

Debian ベースの Linux ディストリビューション（amd64 および arm64）：

sudo apt install ./baryon-mcp_*.deb

RPM ベースの Linux ディストリビューション（amd64 および arm64）：

sudo rpm --install ./baryon-mcp_*.rpm

その他の環境では、最新リリースからお使いのプラットフォーム用のアーカイブをダウンロードし、baryon-mcp を展開して PATH に配置してください。リリースには、amd64 と arm64 向けの macOS、Linux、FreeBSD、OpenBSD ビルド、Windows amd64 ビルド、Linux amd64 と arm64 向けの DEB および RPM パッケージと、SHA256SUMS ファイルが含まれています。ダウンロードしたファイルのハッシュを計算し、そのファイル内の該当する行と比較してください：

sha256sum baryon-mcp_*.tar.gz            # Linux archive
sha256sum baryon-mcp_*.deb               # Linux DEB
sha256sum baryon-mcp_*.rpm               # Linux RPM
shasum -a 256 baryon-mcp_*.tar.gz        # macOS
sha256 baryon-mcp_*.tar.gz               # FreeBSD and OpenBSD

Get-FileHash baryon-mcp_*.zip -Algorithm SHA256   # Windows

2. セットアップを実行する

baryon-mcp setup

セットアップでは、Bridge の TLS 証明書を固定し、Bridge の認証情報を保存し、インストール済みの Claude Code と Codex の CLI に baryon を登録します。これらの CLI はバイナリを直接起動するため、ラッパースクリプトやクライアント設定ファイルへの認証情報の記載は不要です。Bridge のパスワードはシステムのキーリング（Linux では gnome-keyring、KWallet、KeePassXC のいずれかが実行中の場合は Secret Service、macOS では Login Keychain、Windows では Credential Manager）に保存されます。キーリングから応答がない場合は、~/.config/baryon-mcp 配下のアクセス権限が 600 に設定されたファイルに保存されます。

Linux でエクスポートされた証明書が見つからない場合、セットアップでは、procfs を通じてポートを所有するプロセスが、ユーザーと同じユーザー権限で実行されている Bridge 実行ファイルであることを確認したうえで、実行中の Bridge が提示している証明書を固定するかどうかを尋ねます。確認を求める前に、その証明書のフィンガープリントが表示されます。ヘッドレス環境にインストールされた Bridge（protonmail-bridge-core）には証明書をエクスポートする UI がないため、ここでの手順が想定された方法です。baryon-mcp setup --help には、--reset-credentials、--tls-cert、--client などのオプションが記載されています。

クライアントを手動で設定する

baryon-mcp setup は Claude Code と Codex の設定に対応しています。その他の MCP クライアントを使う場合は、baryon-mcp バイナリを自分で指定してください。設定形式はクライアントによって異なりますが、サーバーのエントリーは次のようになります：

{
  "mcpServers": {
    "baryon": {
      "command": "/absolute/path/to/baryon-mcp",
      "env": {
        "PROTON_BRIDGE_USERNAME": "[email protected]",
        "PROTON_BRIDGE_PASSWORD": "bridge-generated-password",
        "PROTON_BRIDGE_TLS_CERT": "/absolute/path/to/cert.pem"
      }
    }
  }
}

この基本的な設定では、Bridge の認証情報が平文で保存される場合があります。認証情報をクライアント設定に一切記載しない baryon-mcp setup を使うか、クライアントの安全なシークレットストレージを利用してください。ここで設定した変数は、保存済みの認証情報より優先されるため、両者を組み合わせることもできます。たとえば、クライアントのエントリーでエンドポイントを上書きし、パスワードはキーリングに保存したままにできます。

Proton Pass CLI

Bridge のパスワードを Proton Pass に保存している場合、pass-cli run を使って起動時に解決できます。これにより、クライアント設定にはパスワードそのものではなく参照を記載できます：

claude mcp add --transport stdio --scope user baryon \
  -e [email protected] \
  -e "PROTON_BRIDGE_PASSWORD=pass://Personal/Proton Bridge/password" \
  -- pass-cli run --no-masking -- /usr/bin/baryon-mcp

pass-cli run は MCP の stdio ストリームを変更せずに通過させ、終了コードも保持します。--no-masking は重要です。既定では、pass-cli は子プロセスの出力に解決済みのシークレットが含まれていると、その箇所を書き換えます。その結果、メールボックスの内容にたまたま Bridge のパスワードが含まれていた場合、ツールの結果が破損してしまいます。Proton Pass のセッションが期限切れになっている場合や、参照を解決できない場合は、サーバーの起動前に標準エラー出力へエラーが表示され、クライアントの MCP ログで確認できます。

ホステッド AI クライアント

注意

以下のインストール方法では、Baryon をホステッド AI 製品に接続します。クライアントがモデルに渡す際、Baryon を通じて取得したメールの内容は該当するプロバイダーに送信されます。

Claude Desktop

お使いのプラットフォーム用の .mcpb バンドルを最新リリースからダウンロードして開き、プロンプトが表示されたら Bridge の設定を入力してください。

Claude Code と Codex

上記の手順でバイナリをインストールし、baryon-mcp setup を実行してください。PATH 上で見つかった両方の CLI が登録されます。--client claude または --client codex を指定すると、いずれか一方のみを設定します。既存の baryon エントリーは、--force-client-config を指定しない限り変更されません。

Linux での Docker

ghcr.io/combor/baryon-mcp は linux/amd64 と linux/arm64 向けに公開されています。MCP ディレクトリからサーバーを起動してツールスキーマを読み取れるようにすることと、Linux ユーザーがコンテナ内で Baryon を実行できるようにすることを目的としています。macOS と Windows ではネイティブバイナリを使用してください。Docker Desktop は Bridge がリッスンするホストのループバックインターフェースを共有しません。

Baryon は stdio で通信するため、ポートに接続するのではなく、クライアントがコンテナを起動します。

{
  "mcpServers": {
    "baryon": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "--network=host",
        "--user", "1000:1000",
        "--env-file", "/absolute/path/to/baryon.env",
        "-v", "/absolute/path/to/cert.pem:/run/secrets/bridge-cert.pem:ro",
        "-v", "/absolute/path/to/attachments:/attachments",
        "-e", "PROTON_BRIDGE_TLS_CERT=/run/secrets/bridge-cert.pem",
        "-e", "BARYON_ATTACHMENT_ROOTS=/attachments",
        "ghcr.io/combor/baryon-mcp:latest"
      ]
    }
  }
}

• --network=host が必要です。Bridge はホストのループバックインターフェースでリッスンし、Baryon はほかのアドレスへの認証情報の送信を拒否します。
• PROTON_BRIDGE_USERNAME と PROTON_BRIDGE_PASSWORD は env ファイルに保存し、実行時に指定してください。このファイルには Bridge のパスワードが平文で保存されるため、リポジトリの外に作成し、chmod 600 を実行してください。認証情報をイメージに埋め込んだり、Compose ファイルにコミットしたりしないでください。
• 1000:1000 は、ご自身の id -u と id -g の値に置き換えてください。バインドマウントではホスト側の所有権が維持されるため、--user を指定しないと、コンテナは UID 65532 で実行され、モード 0600 の証明書を読み取れず、添付ファイル用ディレクトリにも書き込めません。save_attachment はコンテナの実行 UID が所有するモード 0600 のファイルを作成するため、自分の UID で実行すれば読み取り可能な状態を保てます。
• BARYON_ATTACHMENT_ROOTS は、上記のようにマウントしたディレクトリを指すようにしてください。指定しない場合、サーバーはコンテナユーザーのホームディレクトリに添付ファイル用ディレクトリを作成します。通常、--user による上書きではこのディレクトリに書き込めず、制限のないアクセスにフォールバックせずに起動が失敗します。
• Docker デーモンにアクセスできる人は、実行中のコンテナの環境変数を読み取れます。デスクトップでは、認証情報をシステムのキーチェーンまたはモード 600 のファイルに保存する baryon-mcp setup で設定したネイティブバイナリを優先してください。
• 両方の認証情報がない場合でも、イメージは起動してツールスキーマを提供するため、ディレクトリから確認できます。ただし、その後のすべてのツール呼び出しで設定がないことが報告されます。認証情報を片方だけ指定すると、起動時に失敗します。

セキュリティ境界

• Baryon は、ループバック以外のホストへの Bridge 認証情報の送信を拒否します。
• Bridge の TLS 証明書は、デフォルトでピン留めされています。証明書がない場合、明示的に非セキュアモードを有効にしない限り、Baryon は起動を拒否します。
• 読み取りツールはメールボックスを読み取り専用で選択し、メッセージを既読にしません。
• メールボックスを変更するツールは save_draft、save_reply_draft、save_forward_draft のみで、変更は Drafts 内に限られます。送信、移動、一般的な削除、フラグ変更を行うツールはありません。
• ローカルディスクに書き込むツールは save_attachment のみです。既存のファイルを上書きしたり、存在しない親ディレクトリを作成したりすることはありません。
• 添付ファイルのローカルでの読み書きは、デフォルトでは管理対象フォルダー内に制限されます。または、BARYON_ATTACHMENT_ROOTS で指定したディレクトリ内に制限されます。
• BARYON_ALLOWED_FOLDERS を使用して、読み取り対象を許可リスト内のフォルダーに制限できます。許可リスト外のフォルダーは、メールボックスを開く前に拒否され、list_folders にも表示されません。
• 返信の送信元として使用できるのは BARYON_SENDER_IDENTITIES に含まれるアドレスのみで、元のメッセージの Bcc 受信者が引き継がれることはありません。
• メッセージの内容は、返されるすべての場所で content_trust: "untrusted_email" としてラベル付けされ、テキストブロックのみを読み取るクライアント向けに、推測不可能な区切り文字で囲まれます。
• MCP クライアントは、要求したメッセージの内容と添付ファイルにアクセスできます。信頼できるクライアントとモデルのみ接続してください。

詳細リファレンス

secret-tool lookup service baryon-mcp-proton-bridge username [email protected]

添付ファイルのルートは、サーバー起動時にその識別情報が固定されます。たとえば、ルートの名前を変更して、その場所にシンボリックリンクを置くなどしても、境界は移動しません。すべてのルートに到達できなくなった場合、どちらのツールも、制限のないアクセスにフォールバックせず、すべてのパスを拒否します。

管理対象ディレクトリが導入される前のリリースからアップグレードする場合： BARYON_ATTACHMENT_ROOTS が未設定の場合、以前はサーバーアカウントがアクセスできる任意の絶対パスを content_path と output_path に指定できました。現在は管理対象ディレクトリ内に制限されています。他の場所を引き続き使用するには、BARYON_ATTACHMENT_ROOTS を明示的に設定してください。上記の Docker の例ではすでに設定されているため、コンテナユーザーには影響しません。

開発

ソースからビルドするには、Go 1.27.2 以降が必要です。

make build      # build ./baryon-mcp
make test       # formatting, shell script checks, vet, and race-enabled tests
make snapshot   # local GoReleaser build and MCPB packaging into dist/

make snapshot には GoReleaser、jq、npx も必要です。

リリースワークフローでは、公開前に、リリースする MCPB バンドルのチェックサムを使って server.json テンプレートを埋めます。

ライセンス

BSD 3-Clause