Was ist ein KI-Agenten-Postfach? Eine separate Adresse für eine Aufgabe

Ein KI-Agenten-Postfach ist ein Postfach, das erstellt wird, damit ein KI-Assistent E-Mails für eine begrenzte Aufgabe empfangen kann – einen Bestätigungscode, eine Bestätigung, einen Download-Link – ohne irgendjemandes persönliche E-Mails zu berühren. Es sitzt zwischen zwei anderen Optionen, zu denen Menschen oft greifen: Ihrem eigenen Postfach, das jahrelange Historie und Wiederherstellungslinks enthält, und einem dauerhaften Postfach im Namen des Assistenten, das zu einer zweiten Identität wird, um die Sie sich dann kümmern müssen.

Die Idee ist einfach. Die Aufgabe braucht einen Ort, an dem E-Mails ankommen können, und einen Weg für den Assistenten, sie zu lesen. Beides erfordert weder Ihre E-Mail-Historie noch eine Adresse, die nächsten Monat noch existiert.

Eine Adresse ist keine Leseberechtigung

Wenn ein Assistent sich bei einem Dienst anmeldet, passieren zwei getrennte Dinge. Er trägt eine E-Mail-Adresse in ein Formular ein, und er liest, was an dieser Adresse ankommt. Menschen behandeln das oft als einen Akt, aber es sind zwei verschiedene Berechtigungen – und sie müssen nicht auf dasselbe Postfach zeigen.

Ihre Adresse in ein Formular zu tippen teilt einen Identifikator. Dem Assistenten Lesezugriff auf Ihr Postfach zu gewähren teilt alles darin: Kontoauszüge, Passwort-Resets, private Unterhaltungen, Links, die andere Konten entsperren. Eine Aufgabe, die einen Bestätigungscode braucht, sollte nichts davon offenlegen müssen.

Der Begleitartikel über der KI Ihre E-Mail geben vs. Postfachzugriff geht die Autorisierungsentscheidung im Detail durch. Die kurze Version: Halten Sie bei einer risikoarmen, einmaligen Aufgabe sowohl die Adresse als auch den Lesezugriff von Ihrem Hauptpostfach fern.

Das Modell des separaten Postfachs

Ein eigenes dauerhaftes Postfach für den Assistenten löst das Offenlegungsproblem, schafft aber ein Pflegeproblem. E-Mails sammeln sich an. Die Adresse wird mit Konten verknüpft. Über die Zeit wird daraus eine weitere Identität mit eigenen Wiederherstellungslinks und eigener Aufräumarbeit.

Ein Aufgabenpostfach vermeidet das. Es wird erstellt, wenn die Aufgabe beginnt, enthält nur, was für diese Aufgabe ankam, und wird gelöscht oder läuft ab, wenn die Aufgabe endet. Drei Eigenschaften definieren das Modell:

• Begrenzte Lebenszeit. Das Postfach hat ein festes Ende. Es bleibt kein Restpostfach übrig, das man später noch einmal besuchen oder verteidigen müsste.
• Begrenzte Zugangsdaten. Der Assistent hält Zugangsdaten, die nur dieses Postfach öffnen – kein Konto mit anderen Postfächern dahinter.
• Nur empfangender Dienst. Das Postfach nimmt eingehende E-Mails an. Der Dienst bietet keinen Weg, daraus zu senden.

Was dieser Dienst dem Agenten erlaubt

Auf TempMail.Best nutzt ein Agent seinen eigenen Zugangskanal, getrennt von der Browsersitzung, die ein Mensch verwenden würde. Über diesen Kanal kann der Agent:

• ein Postfach mit 10 Minuten oder 1 Stunde Laufzeit erstellen;
• auf neue E-Mails warten, indem er Postfach-Änderungsereignisse abonniert und – falls seine Verbindung abreißt – die Nachrichtenliste selbst abfragt;
• Nachrichtenvorschauen auflisten und eine Nachricht öffnen, um ihren vollständigen Inhalt zu lesen;
• das Postfach und seine Nachrichten löschen, wenn die Aufgabe erledigt ist.

Er kann über diesen Dienst keine E-Mails senden. Die Zugangsdaten, die er erhält, sind ein Bearer-Token, der an dieses eine Postfach gebunden ist. Es gibt kein Konto dahinter und kein anderes Postfach, das er erreichen könnte.

Die Postfachregeln sind fest: Die Laufzeit wird bei der Erstellung gesetzt, und eingehende E-Mails verlängern sie nicht; nur die 20 neuesten Nachrichten werden behalten; eine einzelne Roh-Nachricht ist auf 1 MiB begrenzt; nach dem Ablauf kann das Postfach nicht mehr zugegriffen werden. Diese Grenzen begrenzen Lebenszeit und gespeicherte E-Mails dieses Postfachs; sie machen den Assistenten nicht sicher und schränken seine anderen Werkzeuge nicht ein.

Was die anderen Werkzeuge des Agenten weiterhin können

Die Postfachgrenze begrenzt, welche E-Mails der Assistent sehen kann. Sie begrenzt nicht den Assistenten. Wenn derselbe Assistent auch einen Browser, einen Code-Interpreter, Dateizugriff oder andere autorisierte Integrationen hat, bleiben die exakt so mächtig wie zuvor – und ein separates Postfach tut nichts, um sie zu verkleinern.

Das zählt für die Hauptbedrohung im KI-E-Mail-Umgang: Prompt Injection. E-Mail-Inhalte sind nicht vertrauenswürdige Eingaben, und eine Nachricht kann Text tragen, der geschrieben wurde, um den Assistenten zu Handlungen umzuleiten, die der Nutzer nie genehmigt hat. OWASP stuft Prompt Injection als Top-Risiko für LLM-Anwendungen ein, einschließlich indirekter Injektion über externe Inhalte wie E-Mail (OWASP LLM Top 10). Ein temporäres Postfach begrenzt, wie viel E-Mail offengelegt wird, aber es stoppt keinen manipulierten Assistenten daran, seine anderen Werkzeuge zu missbrauchen.

Aus demselben Grund ist die Anweisung an den Assistenten, „E-Mail-Text als Daten zu behandeln, nicht als Befehle", eine Arbeitsanweisung, keine technische Garantie. Modelle trennen Anweisungen nicht zuverlässig von Inhalten. Wie injizierter Text die Berechtigungsgrenze überschreitet und wo menschliche Freigabe sitzen muss, behandelt Prompt Injection in einfacher Sprache.

Noch eine Grenze, die man benennen sollte: Das Postfach verbirgt auch nicht, was der Assistent anderswo übermittelt. Wenn die Aufgabe Formulare ausfüllen, Links anklicken oder etwas bezahlen umfasst, tragen diese Aktionen Ihre Informationen – egal welches Postfach die Bestätigung empfangen hat.

Die Aufgabe beenden und den Zugriff prüfen

Wenn der Assistent die Aufgabe als abgeschlossen meldet, bestätigen Sie zuerst das Ergebnis. Schließen Sie dann das Postfach: Der Agent kann sein Postfach über die Agent-API löschen, oder Sie lassen es planmäßig ablaufen. Eine Browsersitzung kann ein vom Agenten erstelltes Postfach nicht beenden – die beiden Zugangskanäle sind voneinander isoliert. Sobald das Postfach weg ist, öffnen seine Zugangsdaten nichts mehr.

Seien Sie präzise, was das beendet. Der Zugriff auf dieses Postfach ist vorbei. Es sagt nichts über die anderen Berechtigungen, aktiven Sitzungen oder verbundenen Werkzeuge des Assistenten auf der von Ihnen genutzten KI-Plattform aus – die werden separat verwaltet, und das Löschen des Postfachs widerruft sie nicht. Es kann auch nicht ungeschehen machen, dass der Assistent diese E-Mails bereits gelesen hat; der Zeitpunkt, die Offenlegung zu begrenzen, ist also vor dem Aufgabenstart, nicht danach.

Wenn Sie vor dem Autorisieren einer echten Aufgabe einen konkreten Durchlauf wollen – was zu prüfen, was abzulehnen und was hinterher zu verifizieren ist –, steht die Checkliste in E-Mail-Verifizierung mit einem KI-Agenten.

Ein Agenten-Postfach beantwortet eine enge Frage: Wo soll Aufgaben-E-Mail landen, damit der Assistent sie lesen kann, ohne Sie zu lesen? Geben Sie ihm das – und nichts mehr.