¿Qué es una bandeja para agentes de IA? Una dirección separada para una tarea

Una bandeja para agentes de IA es un buzón creado para que un asistente de IA pueda recibir correo de una tarea delimitada —un código de verificación, una confirmación, un enlace de descarga— sin tocar el correo personal de nadie. Se sitúa entre otras dos opciones a las que la gente suele recurrir: tu propio buzón, que contiene años de historial y enlaces de recuperación, y un buzón permanente registrado a nombre del asistente, que se convierte en una segunda identidad que luego tienes que mantener.

La idea es simple. La tarea necesita un lugar donde pueda llegar el correo y un modo de que el asistente lo lea. Ninguna de las dos cosas requiere tu historial de correo, ni una dirección que exista el mes que viene.

Una dirección no es permiso para leer correo

Cuando un asistente se registra en un servicio, ocurren dos cosas separadas. Introduce una dirección de correo en un formulario, y lee lo que llegue a esa dirección. La gente suele tratarlas como un solo acto, pero son dos permisos distintos, y no tienen que apuntar al mismo buzón.

Escribir tu dirección en un formulario comparte un identificador. Conceder al asistente acceso de lectura a tu buzón comparte todo lo que hay dentro: extractos bancarios, restablecimientos de contraseña, conversaciones privadas, enlaces que desbloquean otras cuentas. Una tarea que necesita un código de verificación no debería tener que exponer nada de eso.

El artículo complementario sobre dar tu correo a una IA frente a acceso a la bandeja recorre la decisión de autorización en detalle. La versión corta: para una tarea puntual de bajo riesgo, mantén tanto la dirección como el acceso de lectura lejos de tu buzón principal.

El modelo de bandeja separada

Un buzón permanente dedicado al asistente resuelve el problema de exposición pero crea un problema de mantenimiento. El correo se acumula. La dirección queda vinculada a cuentas. Con el tiempo se convierte en otra identidad con sus propios enlaces de recuperación y su propia limpieza pendiente.

Una bandeja de tarea evita eso. Se crea cuando la tarea empieza, guarda solo lo que llegó para esa tarea y se elimina o caduca cuando la tarea termina. Tres propiedades definen el modelo:

• Duración limitada. La bandeja tiene un final fijo. No queda ningún buzón residual que revisar o defender después.
• Credencial acotada. El asistente tiene una credencial que abre solo esta bandeja, no una cuenta con otros buzones vinculados.
• Servicio de solo recepción. El buzón acepta correo entrante. El servicio no ofrece un modo de enviar correo desde él.

Lo que este servicio permite hacer al agente

En TempMail.Best, un agente usa su propio canal de acceso, separado de la sesión de navegador que usaría una persona. Con ese canal el agente puede:

• crear un buzón con una duración de 10 minutos o 1 hora;
• esperar correo nuevo suscribiéndose a eventos de cambio del buzón y, si su conexión falla, consultar la lista de mensajes por su cuenta;
• listar vistas previas de mensajes y abrir un mensaje para leer su cuerpo completo;
• eliminar el buzón y sus mensajes cuando la tarea termina.

No puede enviar correo a través de este servicio. La credencial que recibe es un token Bearer vinculado a ese único buzón. No hay ninguna cuenta detrás ni ningún otro buzón al que pudiera llegar.

Las reglas de la bandeja son fijas: la duración se fija en la creación y recibir correo no la extiende; solo se conservan los 20 mensajes más recientes; un mensaje en bruto individual está limitado a 1 MiB; tras la caducidad el buzón no puede volver a consultarse. Estos límites acotan la duración de este buzón y el correo almacenado; no hacen al asistente seguro ni restringen sus otras herramientas.

Lo que las otras herramientas del agente aún pueden hacer

La frontera de la bandeja limita qué correo puede ver el asistente. No limita al asistente. Si el mismo asistente también tiene un navegador, un intérprete de código, acceso a archivos u otras integraciones autorizadas, esas siguen siendo exactamente tan potentes como antes, y una bandeja separada no hace nada por reducirlas.

Esto importa para la principal amenaza en el manejo de correo con IA: la inyección de prompts. El contenido del correo es una entrada no fiable, y un mensaje puede llevar texto escrito para redirigir al asistente hacia acciones que el usuario nunca aprobó. OWASP sitúa la inyección de prompts como el primer riesgo para aplicaciones LLM, incluida la inyección indirecta a través de contenido externo como el correo (OWASP LLM Top 10). Una bandeja temporal limita cuánto correo queda expuesto, pero no impide que un asistente manipulado haga mal uso de sus otras herramientas.

Por la misma razón, decirle al asistente que "trate el texto del correo como datos, no como comandos" es una instrucción operativa, no una garantía técnica. Los modelos no separan instrucciones de contenido de forma fiable. Cómo el texto inyectado cruza la frontera de permisos, y dónde tiene que estar la aprobación humana, se cubre en inyección de prompts en lenguaje claro.

Una frontera más que nombrar: la bandeja tampoco oculta lo que el asistente envía a otros lugares. Si la tarea implica rellenar formularios, hacer clic en enlaces o pagar algo, esas acciones llevan tu información independientemente de qué buzón recibiera la confirmación.

Termina la tarea y revisa el acceso

Cuando el asistente informe de que la tarea está completa, confirma primero el resultado. Luego cierra la bandeja: el agente puede eliminar su buzón a través de la API de agente, o puedes dejar que ese buzón caduque según lo previsto. Una sesión de navegador no puede detener un buzón creado por un agente: los dos canales de acceso están aislados entre sí. Una vez que el buzón desaparece, su credencial ya no abre nada.

Sé preciso sobre lo que eso termina. El acceso a esta bandeja se acabó. No dice nada sobre los demás permisos del asistente, sesiones activas o herramientas conectadas en la plataforma de IA que usaste: esas se gestionan aparte, y eliminar la bandeja no las revoca. Tampoco puede "desleer" lo que el asistente ya vio, así que el momento de limitar la exposición es antes de que empiece la tarea, no después.

Si quieres un recorrido concreto antes de autorizar una tarea real —qué comprobar, qué rechazar y qué verificar después—, la lista está en verificación de correo con un agente de IA.

Una bandeja de agente responde a una pregunta estrecha: ¿dónde debería aterrizar el correo de una tarea para que el asistente pueda leerlo sin leerte a ti? Dale eso, y nada más.