Por qué le quité a mis bots el permiso de mandar correos a mi nombre: puertas duras vs. reglas suaves

Un lunes de noviembre, de madrugada, uno de mis bots mandó dos correos desde mi Gmail.

No eran spam ni nada vergonzoso. Eran dos trámites normales, bien escritos, a dos organizaciones a las que de verdad había que escribir. El problema no era lo que decían. Era quién parecía estar diciéndolo: yo.

Lo peor es que había una regla escrita que lo prohibía desde hacía más de tres semanas.

La regla que ya existía

Desde el 10 de octubre, mis bots tienen una instrucción clara: el correo sale solo desde su propia cuenta. Cada uno tiene su buzón en AgentMail, un servicio de correo hecho para agentes de IA. Cuando escriben por mí, lo dicen al pie: «Sent on behalf of Fabian de la Fuente». Y si hace falta, yo voy en copia.

El 14 de octubre la volví a escribir, esta vez como «regla firme»: solo las cuentas de los agentes envían. Nunca mi correo.

Una regla escrita es una frase en un archivo que el bot lee antes de trabajar. Funciona casi siempre. El problema está en el «casi».

La decisión dura: quitar la llave

Dos días después, el 16 de octubre, decidí no depender de que un bot recordara una frase. Hice dos cosas:

1. Borré dos conexiones que dejaban a los bots mandar desde mi Gmail. No las pausé. Las eliminé.
2. Puse un candado en el código. El programa que usan para mandar correos revisa el remitente antes de enviar. Si no es una cuenta de agente, se niega y lanza un error. No pregunta ni negocia.

Esa es la diferencia que da título a este texto. Una regla suave le pide al bot que no haga algo. Una puerta dura hace que no pueda. La primera depende de la memoria, del contexto y de que la instrucción no se pierda entre otras cien. La segunda solo depende de que la puerta exista.

Es la lógica del interruptor diferencial de tu casa. No le pides a nadie que tenga cuidado con los cables: instalas algo que corta la corriente aunque nadie tenga cuidado.

Qué se rompió

Cerré dos puertas. No cerré todas.

Mis bots siguieron conectados a otras cuentas de Gmail mías, porque las necesitan para buscar un recibo, una confirmación o un dato. Pero esas conexiones no solo leen: también pueden mandar. Y el candado vivía en el programa de envío; una conexión directa no pasa por ahí.

El 2 de noviembre, de madrugada, un bot tenía que mandar dos correos y usó una de esas conexiones. Salieron con mi nombre como remitente. No hubo mala intención. El bot resolvió el problema que tenía delante por el camino que encontró abierto, que es exactamente lo que hace cualquier sistema cuando la regla está escrita y la puerta no está cerrada.

Minutos después reforcé la regla, ahora con todas las letras: ningún bot manda correo desde ninguna cuenta mía, y cada uno manda solo desde la suya. Los dos mensajes se volvieron a mandar desde la cuenta del bot.

El principio: si no se puede deshacer, no lo escribas; quítalo

Esto no es un problema de la IA. Es un problema viejo de sistemas. Las personas también se saltan reglas cuando están cansadas, apuradas o cuando el atajo está ahí. Por eso las bóvedas de los bancos tienen cerraduras con temporizador: nadie le pide al gerente que no abra de noche; la puerta simplemente no abre.

Lo que aprendí con mis bots es que la pregunta útil no es «¿le dije que no lo hiciera?». Es «¿puede hacerlo?». Si la respuesta es sí, tarde o temprano lo va a hacer. No por rebeldía, sino porque un sistema que quiere terminar la tarea toma el camino que tiene.

Las reglas escritas siguen sirviendo. Son baratas, flexibles y funcionan casi siempre. Pero cuando lo que está en juego no se puede deshacer, como un correo que sale con tu nombre, «casi siempre» no alcanza. Ahí hace falta una puerta.

Y me toca ser honesto: las conexiones para leer mi Gmail siguen ahí, porque mis bots las necesitan para trabajar. Hoy las cuida una regla reforzada. Ya sé cuánto vale una regla. La siguiente puerta es que puedan leer sin poder mandar.

Qué puedes hacer si trabajas con agentes de IA

1. Dale a cada agente su propia identidad. Una cuenta de correo propia, y que firme como alguien que escribe en tu nombre, no como tú.
2. Haz inventario de puertas, no de reglas. Lista cada conexión que tiene cada agente y lo que puede hacer de verdad, no lo que le pediste. Una conexión «para leer» muchas veces también escribe.
3. Pon el candado donde pasa todo. En el código que envía, no solo en las instrucciones.
4. Pide el permiso mínimo. Si el agente solo necesita leer, dale solo lectura. Gmail, por ejemplo, tiene un permiso de solo lectura separado del de enviar.
5. Cuando algo se rompa, busca la puerta abierta. Preguntar quién se equivocó sirve poco. Preguntar por dónde pudo pasar sirve mucho más.

Preguntas frecuentes

¿Por qué no dejar que el bot mande desde mi correo, si escribe bien?

Porque quien lo recibe cree que hablaste tú. Si el bot se equivoca, el error lleva tu nombre, y después cuesta saber qué escribiste tú y qué escribió el bot. Con una cuenta propia, cada correo dice quién lo mandó.

¿Qué es una regla suave y qué es una puerta dura?

Una regla suave es una instrucción: «no mandes correos desde mi cuenta». Una puerta dura es un límite técnico: la conexión no existe, o el código se niega a enviar. La regla depende de que el bot la cumpla; la puerta, no.

¿No basta con una buena instrucción?

Casi siempre, sí. En mi caso, la regla estaba escrita desde el 10 de octubre y reafirmada el 14. Aun así, el 2 de noviembre salieron dos correos desde mi Gmail. Para lo que no se puede deshacer, «casi siempre» es poco.

¿Qué es AgentMail?

Es un servicio de correo pensado para agentes de IA: cada agente tiene su propio buzón y su propia dirección, y los maneja por programa. Así cada bot manda desde su cuenta y no desde la mía.

¿Cómo sé qué puede hacer realmente una conexión?

Mira la lista de herramientas o permisos que trae, no su nombre. En mi caso, una conexión que usaba para buscar en Gmail incluía también «enviar correo».