Baryon — Proton Mail via Bridge

Baryon MCP

Proton Mail 与你选择的 AI 之间的本地权限受限桥接工具

Baryon 通过本地的 Proton Mail Bridge，将兼容 MCP 的 AI 助手连接到 Proton Mail。

它能让你的助手搜索和阅读邮件、理解对话、处理附件，并为你准备草稿供你审核。Baryon 无法发送邮件、移动或删除普通邮件，也无法将邮件标记为已读。

Baryon 不提供托管服务。你可以决定由哪个 MCP 客户端和 AI 模型接收你的邮件内容。

重要

Baryon 和 Proton Mail Bridge 在本地运行，但你的 AI 未必如此。

通过 Baryon 请求的邮件内容会返回给你的 MCP 客户端，并可能传递给它使用的模型。如果使用本地或自托管模型，具体取决于客户端配置，处理过程可以留在你控制的基础设施上。如果使用托管服务，所选邮件内容会发送给该服务提供商。

例如，使用 Baryon 搭配托管的 Claude 或 Codex 模型时，请求的邮件内容会分别发送到 Anthropic 或 OpenAI 的基础设施。在将客户端连接到邮箱之前，请查看客户端和服务提供商的隐私与数据保留条款。

你可以做什么

• 按文本、发件人、收件人、主题、日期或未读状态查找邮件。
• 阅读邮件或整个对话。
• 检查、获取和保存附件。
• 将新邮件准备为 Proton Mail 草稿。
• 将邮件转发为草稿，并附上其附件和嵌入图片。
• 在 Proton Mail 中自行审核、编辑和发送这些草稿。

例如，你可以这样询问助手：

找出我本月收到的续订通知，并总结价格变化。

阅读我与 Alice 的对话，并准备一份礼貌的后续跟进草稿。

找出 Acme 最新邮件中的 PDF 发票附件，并将其保存在本地。

总结这条支持对话，并起草一份涵盖未解决问题的回复。

实用访问权限，审慎设限

替换现有草稿时，Baryon 会先保存替代草稿，再移除之前的草稿副本。Baryon 没有用于删除普通已收或已发邮件的工具。

工作原理

Proton Mail
    │
    ▼
Proton Mail Bridge       local
    │
    ▼
Baryon                   local
    │
    ▼
Your MCP client
    │
    ├── Local model      can stay on infrastructure you control
    │
    └── Hosted model     content is sent to its provider

Baryon 只与计算机上的 Proton Mail Bridge 通信。它不会将 Bridge 凭据发送到非环回地址，并且默认使用 Bridge 导出的 TLS 证书验证 Bridge。

开始之前

你需要：

• 安装、登录并运行 Proton Mail Bridge。
• 能够通过 stdio 启动本地 MCP 服务的 MCP 客户端。
• Bridge 邮箱设置中显示的 IMAP 用户名和生成的密码。
• Bridge 导出的 TLS 证书，以建立经过验证的连接。

请使用 Bridge 生成的密码，而不是你的 Proton 账户常规密码。在 Proton Mail Bridge 中，通过 Settings → Advanced settings → Export TLS certificates 导出 cert.pem。

安装

1. 安装二进制文件

macOS：

brew install --cask combor/tap/baryon-mcp

Windows，使用 Scoop：

scoop bucket add combor https://github.com/combor/scoop-bucket
scoop install combor/baryon-mcp

Nix，从软件包仓库安装：

nix-env -f https://github.com/combor/nur/archive/main.tar.gz -iA baryon-mcp

Arch Linux — 来自 AUR 的 baryon-mcp-bin：

yay -S baryon-mcp-bin

基于 Debian 的 Linux 发行版（amd64 和 arm64）：

sudo apt install ./baryon-mcp_*.deb

基于 RPM 的 Linux 发行版（amd64 和 arm64）：

sudo rpm --install ./baryon-mcp_*.rpm

其他平台，请从最新版本下载适用于你平台的压缩包，并将 baryon-mcp 解压到 PATH 中。版本发布提供适用于 amd64 和 arm64 的 macOS、Linux、FreeBSD 和 OpenBSD 构建版本，适用于 Windows amd64 的构建版本，以及适用于 Linux amd64 和 arm64 的 DEB 和 RPM 软件包，另附 SHA256SUMS 文件。计算下载文件的哈希值，并与该文件中对应的条目进行比较：

sha256sum baryon-mcp_*.tar.gz            # Linux archive
sha256sum baryon-mcp_*.deb               # Linux DEB
sha256sum baryon-mcp_*.rpm               # Linux RPM
shasum -a 256 baryon-mcp_*.tar.gz        # macOS
sha256 baryon-mcp_*.tar.gz               # FreeBSD and OpenBSD

Get-FileHash baryon-mcp_*.zip -Algorithm SHA256   # Windows

2. 运行设置程序

baryon-mcp setup

设置程序会固定 Bridge 的 TLS 证书、存储你的 Bridge 凭据，并将 baryon 注册到已安装的 Claude Code 和 Codex CLI。之后，这些 CLI 会直接启动二进制文件——无需包装脚本，也无需在客户端配置文件中保存凭据。Bridge 密码会存入系统密钥环（Linux 上运行 gnome-keyring、KWallet 或 KeePassXC 时使用 Secret Service；macOS 上使用 Login Keychain；Windows 上使用 Credential Manager）；如果没有密钥环响应，则存入 ~/.config/baryon-mcp 下权限为 600 的文件中。

在 Linux 上，如果找不到已导出的证书，设置程序会在验证占用该端口的进程是以你的身份运行的 Bridge 可执行文件后，提供固定当前运行中的 Bridge 所用证书的选项，并在询问前显示其指纹。以无头方式安装的 Bridge（protonmail-bridge-core）没有证书导出界面，因此在这种情况下这是预期的操作路径。baryon-mcp setup --help 会列出各项选项，包括 --reset-credentials、--tls-cert 和 --client。

手动配置客户端

baryon-mcp setup 可以配置 Claude Code 和 Codex。对于其他任何 MCP 客户端，请自行将其指向 baryon-mcp 二进制文件。各客户端的配置格式有所不同，但服务条目如下所示：

{
  "mcpServers": {
    "baryon": {
      "command": "/absolute/path/to/baryon-mcp",
      "env": {
        "PROTON_BRIDGE_USERNAME": "[email protected]",
        "PROTON_BRIDGE_PASSWORD": "bridge-generated-password",
        "PROTON_BRIDGE_TLS_CERT": "/absolute/path/to/cert.pem"
      }
    }
  }
}

这种基本配置可能会以明文形式存储 Bridge 凭据。建议使用 baryon-mcp setup，让凭据完全不出现在客户端配置中；或者使用客户端的安全密钥存储。此处设置的任何变量都优先于已存储的凭据，因此两者可以混用——客户端条目可以覆盖端点，同时将密码保留在密钥环中。

Proton Pass CLI

如果你将 Bridge 密码保存在 Proton Pass 中，pass-cli run 可以在启动时解析密码，让客户端配置保存引用，而不是密码：

claude mcp add --transport stdio --scope user baryon \
  -e [email protected] \
  -e "PROTON_BRIDGE_PASSWORD=pass://Personal/Proton Bridge/password" \
  -- pass-cli run --no-masking -- /usr/bin/baryon-mcp

pass-cli run 会原样传递 MCP 标准输入输出流，并保留退出代码。--no-masking 很重要：默认情况下，pass-cli 会重写子进程输出中解析出的密钥的任何出现位置；如果某个工具结果的邮箱内容恰好包含 Bridge 密码，就会因此遭到破坏。Proton Pass 会话过期或无法解析引用时，服务器启动前会在标准错误中报告错误，这会显示在客户端的 MCP 日志中。

托管式 AI 客户端

注意

以下安装方式会将 Baryon 连接到托管式 AI 产品。客户端将通过 Baryon 检索到的邮件内容提供给模型时，这些内容会发送给相应的服务提供商。

Claude Desktop

从最新版本下载适用于你平台的 .mcpb 软件包，打开后按提示输入 Bridge 设置。

Claude Code 和 Codex

安装二进制文件并运行 baryon-mcp setup，如上所述。它会注册在 PATH 中找到的两个 CLI；--client claude 或 --client codex 只配置其中一个，已有的 baryon 条目会保持不变，除非指定 --force-client-config。

Linux 上的 Docker

ghcr.io/combor/baryon-mcp 已为 linux/amd64 和 linux/arm64 发布。它旨在让 MCP 目录启动服务并读取其工具架构，也让 Linux 用户能够在容器中运行 Baryon。在 macOS 和 Windows 上，请使用原生二进制文件：Docker Desktop 不会共享 Bridge 监听的主机环回接口。

Baryon 使用 stdio 通信，因此客户端会启动容器，而不是连接端口：

{
  "mcpServers": {
    "baryon": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "--network=host",
        "--user", "1000:1000",
        "--env-file", "/absolute/path/to/baryon.env",
        "-v", "/absolute/path/to/cert.pem:/run/secrets/bridge-cert.pem:ro",
        "-v", "/absolute/path/to/attachments:/attachments",
        "-e", "PROTON_BRIDGE_TLS_CERT=/run/secrets/bridge-cert.pem",
        "-e", "BARYON_ATTACHMENT_ROOTS=/attachments",
        "ghcr.io/combor/baryon-mcp:latest"
      ]
    }
  }
}

• 必须使用 --network=host。Bridge 监听主机的环回接口，Baryon 不会向任何其他地址发送凭据。
• 将 PROTON_BRIDGE_USERNAME 和 PROTON_BRIDGE_PASSWORD 保存在环境文件中，并在运行时提供。该文件以纯文本保存 Bridge 密码，因此请在仓库之外创建文件，并执行 chmod 600。切勿将凭据烘焙进镜像或提交到 Compose 文件中。
• 将 1000:1000 替换为你自己的 id -u 和 id -g。绑定挂载会保留主机上的所有权，因此不使用 --user 时，容器会以 UID 65532 运行，无法读取权限模式为 0600 的证书，也无法写入附件目录。save_attachment 创建的文件权限模式为 0600，所有者是容器运行时使用的 UID，因此以你自己的身份运行可确保文件可读。
• 按照上面的示例，将 BARYON_ATTACHMENT_ROOTS 指向挂载目录。如果不设置，服务会在容器用户的主目录下创建附件目录，而 --user 覆盖通常无法写入该目录，因此启动会失败，而不会退回到不受限制的访问模式。
• 任何能够访问 Docker 守护进程的人都可以读取运行中容器的环境变量。在桌面设备上，建议使用通过 baryon-mcp setup 配置的原生二进制文件，这样凭据会保存在系统密钥环或权限模式为 600 的文件中。
• 如果两项凭据均未提供，镜像仍会启动并提供工具架构，供目录检查；但随后每次工具调用都会报告缺少配置。只提供一项凭据则会导致启动失败。

安全边界

• Baryon 不会向非环回主机发送 Bridge 凭据。
• 默认情况下，Bridge 的 TLS 证书会被固定。未提供证书时，除非明确启用不安全模式，否则 Baryon 不会启动。
• 读取工具会以只读方式选择邮箱，不会将邮件标记为已读。
• save_draft、save_reply_draft 和 save_forward_draft 是仅有的会更改邮箱的工具，且只会在“草稿”文件夹内操作。没有发送、移动、常规删除或更改标记的工具。
• save_attachment 是唯一会写入本地磁盘的工具。它绝不会覆盖已有文件，也不会创建缺失的父目录。
• 默认情况下，本地附件的读写仅限于受管理的文件夹；也可通过 BARYON_ATTACHMENT_ROOTS 指定目录。
• 可通过 BARYON_ALLOWED_FOLDERS 将读取范围限制为允许列表中的文件夹。若文件夹不在列表中，系统会在打开邮箱前拒绝请求，且该文件夹不会出现在 list_folders 中。
• 回复只能从 BARYON_SENDER_IDENTITIES 中的地址发送，且绝不会包含原始邮件的 Bcc 收件人。
• 返回邮件内容时，都会标记为 content_trust: "untrusted_email"，并使用不可猜测的分隔符括起来，以供仅读取文本块的客户端使用。
• MCP 客户端可以访问你请求的邮件内容和附件。请仅连接你信任的客户端和模型。

进阶参考

secret-tool lookup service baryon-mcp-proton-bridge username [email protected]

服务器启动时会根据身份锁定附件根目录。之后替换某个根目录（例如，将其重命名并在原位置放置符号链接）不会改变边界。如果所有根目录都无法访问，这两个工具都会拒绝所有路径，而不会退回到不受限制的访问模式。

**从不包含受管理目录的旧版本升级：**如果未设置 BARYON_ATTACHMENT_ROOTS，content_path 和 output_path 过去可以接受服务器账户能够访问的任意绝对路径。现在，它们仅限于受管理的目录。若要继续使用其他位置，请显式设置 BARYON_ATTACHMENT_ROOTS；上面的 Docker 示例已设置该变量，因此容器用户不受影响。

开发

从源代码构建需要 Go 1.27.2 或更高版本。

make build      # build ./baryon-mcp
make test       # formatting, shell script checks, vet, and race-enabled tests
make snapshot   # local GoReleaser build and MCPB packaging into dist/

make snapshot 还需要 GoReleaser、jq 和 npx。

发布工作流会使用已发布 MCPB 包中的校验和填充 server.json 模板，然后将其发布到 MCP Registry。

许可证

BSD 3-Clause