Дать ИИ вашу почту или доступ к ящику: что разрешать

Безопасно ли это, зависит от того, какое из трёх разных действий вы реально совершаете. Ввести свой email в поле — значит поделиться идентификатором. Дать помощнику разрешение читать один ящик — значит поделиться содержимым этого ящика. Подключить весь аккаунт через интеграцию — значит поделиться годами переписки и возможностью действовать с ней. Это часто подаётся как одно решение — поле формы или экран согласия, — но последствия очень разные, и решать их можно по отдельности.

Эта статья о том, как принимать такое решение осознанно: проверять, что умеет интеграция, давать разовым задачам только необходимое и закрывать каждое разрешение по завершении задачи.

Адрес, доступ к ящику и полное подключение аккаунта

Сообщить адрес значит, что помощник вписывает ваш email в форму регистрации или заголовок письма. Сайт теперь знает адрес; помощник не получил ничего сверх того, что уже имел. Ничего нового никуда не приходит, и прочитать почту, просто зная адрес, нельзя.

Доступ к ящику — это учётные данные или разрешение, позволяющее помощнику открыть ящик и читать приходящее. Он может быть узким (один ящик, только чтение, час жизни) или широким. Слово «доступ» скрывает разницу — именно поэтому существует следующий раздел.

Полное подключение аккаунта — то, что может запросить интеграция почты: доступ к истории сообщений или действиям вроде отправки и удаления. Полезно для постоянных помощников, реально управляющих почтой, и слишком много для «достань мне один код подтверждения».

Проверьте, что интеграция реально умеет

Перед авторизацией смотрите на запрашиваемые права, а не на название функции. Помощник, который «резюмирует вашу почту», может по-прежнему держать разрешение отправлять, удалять или изменять письма. OWASP в своих рекомендациях об избыточной автономии прямо говорит об этом паттерне: расширение, читающее почту для резюмирования, должно иметь только права чтения, а действия с высоким влиянием должны требовать одобрения человека (OWASP LLM06).

Проверьте четыре вещи:

• Объём прав: чтение, отправка, удаление, настройки — что из этого разрешение реально даёт?
• Охват: один ящик или весь аккаунт? Только новая почта или вся история?
• Постоянство: разрешение заканчивается вместе с задачей или действует, пока вы его не отзовёте? Проверьте, истекает ли интеграция с задачей; если нет — задача кончится, а дверь останется открытой.
• Другие инструменты: до чего ещё помощник может дотянуться, пока у него есть этот доступ — браузер, файлы, другие подключённые сервисы?

Последний пункт важнее, чем кажется. Входящая почта — недоверенный ввод, и письмо может содержать текст, написанный так, чтобы перенаправить помощника. Это не гипотетика: CVE-2026-33654 — уязвимость промпт-инъекции в почтовом канале помощника nanobot — позволяла удалённому атакующему отправить одно письмо, заставлявшее модель выполнять инструкции и вызывать системные инструменты без участия владельца. Это был изъян одного продукта, а не свойство любой ИИ-функции с почтой, но он показывает, почему разрешения вокруг ящика важны не меньше самого ящика. Механика того, как текст письма становится инструкцией, разобрана в статье о промпт-инъекциях для пользователей почты.

Предпочитайте ящик только для приёма под конкретную задачу

Для низкорисковой задачи, которой нужно лишь принять почту — код подтверждения, подтверждение регистрации, ссылка на загрузку, — самый узкий достаточный вариант: ящик, созданный только под эту задачу.

В TempMail.Best агент может создать ящик со сроком 10 минут или 1 час, ждать входящую почту, читать письма и удалить ящик по завершении. Сервис работает только на приём: отправлять письма с этого адреса нельзя. Учётные данные агента открывают только этот ящик; за ними нет аккаунта и внутри нет истории.

Два ограничения заслуживают точности, потому что их часто перетягивают:

• Отдельный ящик раскрывает только этот ящик — при условии, что остальные разрешения и инструменты помощника ограничены так же. Если тот же помощник имеет доступ к вашим файлам или браузеру, граница ящика не уменьшает то, что неверно направленный помощник мог бы сделать через них.
• «Только приём» описывает этот сервис. Агент не может отправлять почту через TempMail.Best, но может удалить этот временный ящик, и всё, что он может делать через другие подключённые сервисы, никак здесь не ограничено.

Модель ящика, привязанного к задаче, объяснена в статье что такое ящик для ИИ-агента.

Когда не стоит давать доступ

Пропускайте временный ящик — и доступ ИИ к почте вообще — для задач, затрагивающих:

• банки, платежи, инвестиции или покупки, которые вы могли бы оспорить или вернуть;
• здравоохранение, страхование, государственные услуги или документы личности;
• рабочую почту, основные аккаунты или конфиденциальную переписку;
• сбросы паролей, ссылки восстановления или изменения настроек безопасности;
• подписки и сервисы, которые может понадобиться продлить, отменить или восстановить;
• любой процесс, где помощник мог бы отправлять почту или менять аккаунт без вашего одобрения.

Для постоянных аккаунтов используйте адрес под вашим долговременным контролем или управляемый псевдоним с пересылкой. Если сайт отказывается от одноразового адреса, уважайте это — возможно, задача просто не для временного ящика.

Завершите задачу и отзовите каждое разрешение

Когда помощник отчитался о выполнении, проверьте результат: код сработал, загрузка у вас, аккаунт существует. Затем закройте доступ двумя отдельными шагами, потому что задействованы две разные системы:

1. Удалите временный ящик. Это завершает действие учётных данных агента для этого ящика и удаляет его письма. Ящик и так истёк бы по расписанию, но закрытие по завершении задачи сокращает окно.
2. Отзовите сторонние разрешения. Остановка ящика TempMail.Best не отзывает ничего на платформе ИИ. Другие авторизованные инструменты, интеграции и активные сессии управляются там и остаются, пока вы их не уберёте. Проверьте, что вы авторизовали до задачи, и отмените каждый пункт.

Одного удаление сделать не может: оно не «разпрочитает» письма, которые помощник уже видел, и не отменит то, что он сохранил в другом месте. Сдерживайте раскрытие до задачи; уборка после неё — про двери, а не про память.

Перед авторизацией любой почтовой задачи пройдите предварительные проверки из статьи о почтовом подтверждении с ИИ-агентом. Вопрос никогда не в том, заслуживает ли ИИ доверия в целом. Вопрос в том, нужен ли этой задаче такой объём доступа. Для разового приёма почты — почти никогда.