O que é uma caixa de entrada para agente de IA? Um endereço separado para uma tarefa

Uma caixa de entrada para agente de IA é uma caixa de correio criada para que um assistente de IA receba e-mails de uma tarefa delimitada — um código de verificação, uma confirmação, um link de download — sem tocar no e-mail pessoal de ninguém. Ela fica entre duas opções a que as pessoas costumam recorrer: sua própria caixa de correio, que contém anos de histórico e links de recuperação, e uma caixa permanente registrada em nome do assistente, que vira uma segunda identidade que você passa a ter que manter.

A ideia é simples. A tarefa precisa de um lugar onde o e-mail possa chegar e de um jeito de o assistente lê-lo. Nenhum dos dois exige seu histórico de e-mail, e nenhum exige um endereço que exista no mês que vem.

Um endereço não é permissão para ler e-mails

Quando um assistente se cadastra num serviço, duas coisas separadas acontecem. Ele digita um endereço de e-mail num formulário, e lê o que chegar naquele endereço. As pessoas costumam tratar isso como um ato só, mas são duas permissões diferentes, e não precisam apontar para a mesma caixa.

Digitar seu endereço num formulário compartilha um identificador. Dar ao assistente acesso de leitura à sua caixa compartilha tudo que está dentro: extratos bancários, redefinições de senha, conversas privadas, links que desbloqueiam outras contas. Uma tarefa que precisa de um código de verificação não deveria ter que expor nada disso.

O artigo companheiro sobre dar seu e-mail a uma IA vs. acesso à caixa detalha a decisão de autorização. A versão curta: para uma tarefa pontual de baixo risco, mantenha tanto o endereço quanto o acesso de leitura longe da sua caixa principal.

O modelo da caixa separada

Uma caixa permanente dedicada ao assistente resolve o problema de exposição, mas cria um de manutenção. O e-mail acumula. O endereço se liga a contas. Com o tempo, ela vira outra identidade com seus próprios links de recuperação e sua própria limpeza.

Uma caixa de tarefa evita isso. Ela é criada quando a tarefa começa, guarda só o que chegou para aquela tarefa e é apagada ou expira quando a tarefa termina. Três propriedades definem o modelo:

• Duração limitada. A caixa tem um fim fixo. Não sobra caixa para revisitar ou defender depois.
• Credencial delimitada. O assistente detém uma credencial que abre apenas esta caixa, não uma conta com outras caixas ligadas.
• Serviço somente para recebimento. A caixa aceita e-mails recebidos. O serviço não oferece um jeito de enviar a partir dela.

O que este serviço permite ao agente fazer

No TempMail.Best, um agente usa seu próprio canal de acesso, separado da sessão de navegador que uma pessoa usaria. Por esse canal, o agente pode:

• criar uma caixa com duração de 10 minutos ou 1 hora;
• aguardar novos e-mails assinando eventos de mudança da caixa e, se a conexão falhar, consultar a lista de mensagens por conta própria;
• listar prévias de mensagens e abrir uma mensagem para ler o corpo inteiro;
• apagar a caixa e suas mensagens quando a tarefa terminar.

Ele não pode enviar e-mails por este serviço. A credencial que recebe é um token Bearer ligado àquela única caixa. Não há conta por trás nem outra caixa que ele possa alcançar.

As regras da caixa são fixas: a duração é definida na criação e receber e-mail não a estende; só as 20 mensagens mais recentes são guardadas; uma mensagem bruta individual é limitada a 1 MiB; depois da expiração a caixa não pode ser acessada de novo. Esses limites delimitam a vida e os e-mails guardados desta caixa; eles não tornam o assistente seguro nem restringem suas outras ferramentas.

O que as outras ferramentas do agente ainda podem fazer

A fronteira da caixa limita quais e-mails o assistente pode ver. Ela não limita o assistente. Se o mesmo assistente também tem um navegador, um interpretador de código, acesso a arquivos ou outras integrações autorizadas, tudo isso continua exatamente tão poderoso quanto antes, e uma caixa separada não faz nada para encolhê-los.

Isso importa para a principal ameaça no manejo de e-mail com IA: a injeção de prompt. Conteúdo de e-mail é entrada não confiável, e uma mensagem pode carregar texto escrito para desviar o assistente para ações que o usuário nunca aprovou. A OWASP classifica a injeção de prompt como o maior risco para aplicações com LLM, incluindo injeção indireta por conteúdo externo como e-mail (OWASP LLM Top 10). Uma caixa temporária limita quanto e-mail fica exposto, mas não impede um assistente manipulado de usar mal suas outras ferramentas.

Pelo mesmo motivo, dizer ao assistente para "tratar o texto do e-mail como dado, não como comando" é uma instrução de trabalho, não uma garantia técnica. Modelos não separam de forma confiável instruções de conteúdo. Como o texto injetado atravessa a fronteira de permissões e onde a aprovação humana precisa ficar está em injeção de prompt em linguagem simples.

Mais uma fronteira a nomear: a caixa também não esconde o que o assistente envia em outros lugares. Se a tarefa envolve preencher formulários, clicar em links ou pagar por algo, essas ações carregam suas informações independentemente de qual caixa recebeu a confirmação.

Encerre a tarefa e confira o acesso

Quando o assistente informar que a tarefa está concluída, confirme o resultado primeiro. Depois feche a caixa: o agente pode apagar sua caixa pela API de agente, ou você pode deixá-la expirar no prazo. Uma sessão de navegador não consegue encerrar uma caixa criada por agente — os dois canais de acesso são isolados um do outro. Quando a caixa some, sua credencial não abre mais nada.

Seja preciso sobre o que isso encerra. O acesso a esta caixa acabou. Isso não diz nada sobre as outras permissões do assistente, sessões ativas ou ferramentas conectadas na plataforma de IA que você usou — elas são gerenciadas separadamente, e apagar a caixa não as revoga. Também não consegue "desler" o que o assistente já viu, então a hora de limitar a exposição é antes da tarefa começar, não depois.

Se você quer um passo a passo concreto antes de autorizar uma tarefa real — o que verificar, o que recusar e o que confirmar depois — a lista está em verificação de e-mail com agente de IA.

Uma caixa para agente responde a uma pergunta estreita: onde o e-mail da tarefa deve chegar para que o assistente possa lê-lo sem ler você? Dê a ele isso, e nada mais.