Dar tu correo a una IA frente a acceso a la bandeja: qué autorizar

Si es seguro depende de cuál de tres cosas distintas estás haciendo realmente. Escribir tu dirección de correo en un campo comparte un identificador. Dar al asistente permiso para leer una bandeja comparte el contenido de esa bandeja. Conectar todo tu buzón mediante una integración puede compartir años de mensajes y la capacidad de actuar sobre ellos. A menudo se presentan como una sola decisión —un campo de formulario o una pantalla de consentimiento— pero tienen consecuencias muy diferentes y pueden decidirse por separado.

Este artículo trata de tomar esa decisión de forma deliberada: comprobar qué puede hacer una integración, dar a las tareas puntuales solo lo que necesitan y cerrar cada permiso cuando la tarea termina.

Dirección, acceso a la bandeja y conexión completa del buzón

Compartir una dirección significa que el asistente pone tu correo en un formulario de registro o en la cabecera de un mensaje. El sitio ahora conoce la dirección; el asistente no ha ganado nada más allá de lo que ya tenía. No llega nada a ningún sitio nuevo, y nadie puede leer correo solo por conocer una dirección.

Acceso a la bandeja significa una credencial o permiso que permite al asistente abrir un buzón y leer lo que llega. Puede ser estrecho (un buzón, solo lectura, una hora de vida) o amplio. La palabra "acceso" oculta la diferencia, y por eso existe la siguiente sección.

Conexión completa del buzón es lo que puede pedir una integración de correo: acceso al historial de mensajes o a acciones como enviar y eliminar. Útil para asistentes continuos que realmente gestionan correo, y demasiado para "consígueme un código de verificación".

Comprueba qué puede hacer realmente una integración

Antes de autorizar, mira los permisos solicitados y no el nombre de la función. Un asistente que "resume tu correo" puede seguir teniendo permiso para enviar, eliminar o modificar correo. La guía de OWASP sobre agencia excesiva es tajante con este patrón: una extensión que lee correo para resumirlo debería tener solo derechos de lectura, y las acciones de alto impacto deberían requerir aprobación humana (OWASP LLM06).

Comprueba cuatro cosas:

• Alcance: leer, enviar, eliminar, ajustes; ¿cuál de estos concede realmente el permiso?
• Extensión: ¿un buzón o toda la cuenta? ¿Solo el correo nuevo o todo el historial?
• Persistencia: ¿el permiso termina con la tarea o sigue válido hasta que lo revoques? Comprueba si esta integración caduca con la tarea; si no es así, la tarea termina pero la puerta queda abierta.
• Otras herramientas: ¿a qué más puede llegar el asistente mientras mantiene este acceso, como un navegador, archivos u otros servicios conectados?

El último punto importa más de lo que parece. El correo entrante es una entrada no fiable, y un mensaje puede contener texto escrito para redirigir al asistente. No es hipotético: CVE-2026-33654, una vulnerabilidad de inyección de prompts en el canal de correo del asistente nanobot, permitió a un atacante remoto enviar un único correo que hizo que el modelo ejecutara instrucciones y llamara a herramientas del sistema sin que el propietario hiciera nada. Fue un defecto de un producto, no una propiedad de toda función de correo con IA, pero muestra por qué los permisos alrededor de la bandeja importan tanto como la propia bandeja. La mecánica de cómo el texto de un mensaje se convierte en instrucción se cubre en inyección de prompts para usuarios de correo.

Prefiere una bandeja de solo recepción específica para la tarea

Para una tarea de bajo riesgo que solo necesita recibir correo —un código de verificación, una confirmación o un enlace de descarga—, la opción suficiente más estrecha es un buzón creado solo para esa tarea.

En TempMail.Best, un agente puede crear un buzón con una duración de 10 minutos o 1 hora, esperar el correo entrante, leer los mensajes y eliminar el buzón al terminar. El servicio es de solo recepción: no puede enviar correo desde esa dirección. La credencial del agente abre solo ese buzón; no hay ninguna cuenta detrás ni historial dentro.

Dos límites merecen precisión, porque la gente los extiende de más:

• Una bandeja separada expone solo esa bandeja, siempre que los demás permisos y herramientas del asistente estén igualmente limitados. Si el mismo asistente también puede llegar a tus archivos o navegador, la frontera de la bandeja no reduce lo que un asistente mal dirigido podría hacer a través de ellos.
• "Solo recepción" describe este servicio. El agente no puede enviar correo a través de TempMail.Best, pero sí puede eliminar este buzón temporal, y lo que pueda hacer a través de otros servicios conectados no se ve afectado por nada de lo que haya aquí.

El modelo de una bandeja vinculada a una tarea se explica en qué es una bandeja para agentes de IA.

Cuándo no autorizar

Omite la bandeja temporal —y el acceso de la IA al buzón en general— en tareas que impliquen:

• banca, pagos, inversiones o compras que puedas impugnar o reembolsar;
• salud, seguros, servicios gubernamentales o documentos de identidad;
• correo de trabajo, cuentas principales o conversaciones confidenciales;
• restablecimientos de contraseña, enlaces de recuperación o cambios de ajustes de seguridad;
• suscripciones o servicios que puedas necesitar renovar, cancelar o recuperar;
• cualquier flujo en el que el asistente pudiera enviar correo o cambiar una cuenta sin tu aprobación.

Para cuentas duraderas, usa una dirección que controles a largo plazo o un alias de reenvío administrado. Si un sitio rechaza una dirección desechable, respétalo; puede que la tarea simplemente no corresponda a una bandeja temporal.

Cierra la tarea y revoca cada permiso

Cuando el asistente informe de que ha terminado, verifica el resultado: el código funcionó, la descarga está en tu poder, la cuenta existe. Luego cierra el acceso en dos pasos separados, porque implican dos sistemas distintos:

1. Elimina el buzón temporal. Esto termina la credencial del agente para esa bandeja y elimina sus mensajes. El buzón caducaría según lo previsto de todos modos, pero cerrarlo al completar la tarea acorta la ventana.
2. Revoca los permisos de terceros. Detener una bandeja de TempMail.Best no revoca nada en la plataforma de IA. Las demás herramientas autorizadas, integraciones y sesiones activas se gestionan allí y permanecen hasta que las quites. Revisa qué autorizaste antes de la tarea y deshaz cada elemento.

Hay una cosa que la eliminación no puede hacer: no puede "desleer" el correo que el asistente ya vio ni deshacer lo que guardó en otro lugar. Contén la exposición antes de la tarea; la limpieza posterior va de puertas, no de memoria.

Antes de autorizar cualquier tarea de correo, recorre las comprobaciones previas de verificación de correo con un agente de IA. La pregunta nunca es si la IA es fiable en general. Es si esta tarea necesita tanto acceso. Para recepción puntual, casi nunca lo necesita.