Вопрос по построению правил (rules)

[Maksim V. Strepetilov]

Здравствуйте уважаемые,

Подскажите пожалуйста как при помощи правил вычленить письма
отправленные пользователями системы.

Т.е. задача такая

1) на входе вся корреспонденция проходит антиспам фильтр
Submit Address is SMTP*

External Filter antispam

по результату работы фильтра втискивается заголовок
X-AntiSpam-Proceed: SPAM
X-AntiSpam-Proceed: NO

2) нужно поймать письма с заголовком X-AntiSpam-Proceed: SPAM которые
были отправлены локальными пользователями (т.е. теми которые
авторизовались на SMTP с данными локального пользователя и отправили
письмо) через свои аккаунты и замирорить их на ящик например
localspam, который проверяется скриптом и парсит письма на предмет
акаунта через которые они были отправлены и высылает подобные списки
админу для анализа и принятия мер.

Вот тут то и возникли самые толстые вопросы,
Submit Address is SMTP*
Срабатывает как на удаленную доставку на сервер, так и на отправку с
локального сервера на удаленный.
Submit Address is SMTPI* нету такого, не срабатывает
Source is authenticated судя по документации будет тоже срабатывать на
любое письмо.

Может кто сталкивался и поделится рецептом или хотя бы намеком ?

P.S. CGP 4.2.10