Что такое ящик для ИИ-агента? Отдельный адрес для одной задачи

Ящик для ИИ-агента — это ящик, созданный, чтобы ИИ-помощник мог принимать почту для одной ограниченной задачи — код подтверждения, подтверждение регистрации, ссылка на загрузку, — не трогая чью-либо личную почту. Он стоит между двумя вариантами, к которым обычно тянутся: вашим собственным ящиком, где лежат годы истории и ссылки восстановления, и постоянным ящиком, зарегистрированным на имя помощника, который становится второй личностью, за которой придётся следить.

Идея проста. Задаче нужно место, куда может прийти почта, и способ для помощника её прочитать. Ни то ни другое не требует вашей почтовой истории, и ни то ни другое не требует адреса, существующего в следующем месяце.

Адрес — не разрешение читать почту

Когда помощник регистрируется в сервисе, происходят две отдельные вещи. Он вводит email-адрес в форму — и он читает всё, что приходит на этот адрес. Люди часто считают это одним действием, но это два разных разрешения, и они не обязаны указывать на один и тот же ящик.

Ввести ваш адрес в форму — значит поделиться идентификатором. Дать помощнику доступ на чтение вашего ящика — значит поделиться всем, что в нём: банковскими выписками, сбросами паролей, личной перепиской, ссылками, открывающими другие аккаунты. Задача, которой нужен один код подтверждения, не должна требовать раскрытия хоть чего-то из этого.

Сопутствующая статья о том, что дать ИИ вашу почту или доступ к ящику, подробно разбирает решение об авторизации. Короткая версия: для низкорисковой разовой задачи держите и адрес, и доступ на чтение подальше от основного ящика.

Модель отдельного ящика

Выделенный постоянный ящик для помощника решает проблему раскрытия, но создаёт проблему обслуживания. Почта копится. Адрес прикрепляется к аккаунтам. Со временем это превращается в ещё одну личность с собственными ссылками восстановления и собственной уборкой.

Ящик под задачу этого избегает. Он создаётся, когда задача начинается, хранит только то, что пришло для неё, и удаляется или истекает, когда задача заканчивается. Три свойства определяют модель:

• Ограниченный срок жизни. У ящика фиксированный конец. Не остаётся ящика, к которому можно вернуться или который нужно защищать позже.
• Ограниченные учётные данные. Помощник держит учётные данные, открывающие только этот ящик, а не аккаунт с другими ящиками за ним.
• Сервис только на приём. Ящик принимает входящую почту. Сервис не даёт способа отправлять почту с него.

Что этот сервис позволяет агенту

В TempMail.Best агент использует собственный канал доступа, отдельный от браузерной сессии, которой пользовался бы человек. Через этот канал агент может:

• создать ящик со сроком жизни 10 минут или 1 час;
• ждать новую почту, подписавшись на события изменения ящика, и при обрыве соединения самостоятельно опрашивать список сообщений;
• просматривать превью сообщений и открывать письмо, чтобы прочитать его целиком;
• удалить ящик и его письма по завершении задачи.

Отправлять почту через этот сервис он не может. Выданные учётные данные — Bearer-токен, привязанный к этому одному ящику. За ним нет аккаунта и никакого другого ящика, до которого он мог бы дотянуться.

Правила ящика фиксированы: срок жизни задаётся при создании, и получение почты его не продлевает; хранятся только 20 последних сообщений; одно письмо в сыром виде ограничено 1 МиБ; после истечения ящик недоступен. Эти пределы ограничивают срок жизни и хранимую почту этого ящика; они не делают помощника безопасным и не ограничивают его другие инструменты.

Что по-прежнему могут другие инструменты агента

Граница ящика ограничивает, какую почту помощник видит. Самого помощника она не ограничивает. Если у того же помощника есть браузер, интерпретатор кода, доступ к файлам или другие авторизованные интеграции, они остаются ровно такими же мощными, и отдельный ящик ничего в них не сжимает.

Это важно для главной угрозы в обработке почты ИИ: промпт-инъекции. Содержимое письма — недоверенный ввод, и сообщение может нести текст, написанный так, чтобы перенаправить помощника к действиям, которые пользователь никогда не одобрял. OWASP ставит промпт-инъекцию на первое место среди рисков для приложений на LLM, включая косвенную инъекцию через внешний контент вроде почты (OWASP LLM Top 10). Временный ящик ограничивает, сколько почты раскрыто, но не останавливает манипулированного помощника от злоупотребления его другими инструментами.

По той же причине «считай текст писем данными, а не командами» — рабочая инструкция, а не техническая гарантия. Модели не разделяют инструкции и содержимое надёжно. Как инъецированный текст пересекает границу разрешений и где должно сидеть одобрение человека, разобрано в статье о промпт-инъекциях простым языком.

Ещё одна граница, которую стоит назвать: ящик также не скрывает то, что помощник отправляет в других местах. Если задача включает заполнение форм, клики по ссылкам или оплату, эти действия несут вашу информацию независимо от того, в какой ящик пришло подтверждение.

Завершите задачу и проверьте доступ

Когда помощник отчитался о выполнении задачи, сначала подтвердите результат. Затем закройте ящик: агент может удалить свой ящик через API для агентов, или вы можете дать ему истечь по расписанию. Браузерная сессия не может остановить ящик, созданный агентом, — два канала доступа изолированы друг от друга. Как только ящик исчез, его учётные данные больше не открывают ничего.

Будьте точны в том, что именно завершилось. Доступ к этому ящику окончен. Это ничего не говорит о других разрешениях помощника, активных сессиях или подключённых инструментах на платформе ИИ, которой вы пользовались, — они управляются отдельно, и удаление ящика их не отзывает. Оно также не может «разпрочитать» то, что помощник уже видел, поэтому ограничивать раскрытие нужно до начала задачи, а не после.

Если хотите конкретный прогон перед авторизацией реальной задачи — что проверить, что отклонить и что верифицировать после, — чек-лист есть в статье о почтовом подтверждении с ИИ-агентом.

Ящик для агента отвечает на узкий вопрос: куда должна приходить почта задачи, чтобы помощник мог читать её, не читая вас? Дайте ему это — и ничего больше.