该论文研究了多云环境中跨租户通知工作流的安全设计缺陷。云应用经常通过提供商运营的邮件身份发送通知，这提高了投递率，但使通知参数的提供者与服务主体权限分离。论文通过三个负责任披露的案例，展示了一种被称为'信任工作流中继'的攻击模式：经过身份验证的行为者可以控制一份由受信任提供商服务发送的消息，涵盖跨租户收件人，并可能控制HTML内容。三个案例分别涉及绕过UI长度限制、缺少收件人租户验证、批准应用中的弱访问控制和令牌验证缺陷。作者将此类比为传统SMTP开放中继，但失败点已上升到应用层：行为者已认证，提供商是合法发件人，但应用层授权未能约束谁能触发发送。论文定义了'信任工作流中继'的形式化条件，提供了测试矩阵，映射到MITRE ATT&CK的免附件钓鱼技术，并关联到设备代码钓鱼（RFC 8628）。最后提出了租户绑定、类型化模板、对象级授权、令牌受众验证和身份遥测等防御措施。