¿Cómo funciona un filtro de spam con IA? Dentro de su buzón

El filtro de spam de un buzón de Nisdos Mail es un clasificador de aprendizaje automático que vive dentro del propio buzón, cifrado con la misma clave que sus mensajes, y aprende de una sola fuente: el correo que usted marca como spam y el que marca como deseado. Nada más lo entrena. Ni corpus compartido, ni señales entre cuentas, ni un perfil suyo guardado en alguna base de datos con su política de retención adjunta.

Lo lanzamos en julio de 2026 con una página de estado al lado, porque un filtro que toma decisiones sobre su correo le debe una explicación de cómo las tomó.

¿Cómo funcionan normalmente los filtros de spam con IA?

En los servidores del proveedor y sobre el correo de todo el mundo a la vez. El filtro de Gmail es la implementación de referencia de ese enfoque: un modelo entrenado de forma continua sobre un corpus enorme de mensajes, y por eso es muy bueno y por eso mejora para usted cuando alguien en otro país denuncia una campaña. El correo son los datos de entrenamiento, y la maquinaria tiene que leerlo para funcionar.

Es ingeniería honesta con un coste real. La tasa de detección viene de la centralización, así que el filtro no se puede mover a su buzón sin renunciar a lo que lo hace fuerte. Tampoco se puede inspeccionar, ni corregir de forma duradera, ni llevárselo.

¿Qué hace distinto un filtro por buzón?

Cambia el corpus global por su propio criterio, y mantiene el modelo donde está su correo. El clasificador es un modelo de texto bayesiano ingenuo (naive Bayes) — estadística bien entendida, lo bastante pequeña para caber junto al estado de su buzón — sobre los tokens del asunto y del cuerpo visible, más unas pocas pistas estructurales como el dominio del remitente y si el mensaje lleva adjunto.

El modelo se guarda como un objeto del plano de datos escrito por la misma costura de cifrado que sus mensajes, así que hereda el nivel de custodia de su buzón. Con custodia en el dispositivo el servidor no puede leerlo en absoluto. También se puede reconstruir por completo a partir de su correo etiquetado, lo que convierte perderlo en una molestia y no en una pérdida de datos.

La contrapartida merece decirse en claro: un modelo personal empieza de cero y solo sabe lo que usted le enseñó, así que nunca igualará la tasa de detección de Gmail en un buzón recién creado. Lo que hace en cambio es aprender su idea de correo no deseado, algo que un modelo global no puede hacer por construcción. La ronda de mensajes de un reclutador que una persona archiva al instante es correo que otra está esperando.

¿Cómo aprende lo que usted considera spam?

Con dos clics. “Marcar como spam” le enseña spam, “No es spam” le enseña correo deseado, y revertir una etiqueta desentrena la lección anterior. Marcar es idempotente: el modelo registra qué mensajes lo entrenaron, así que reentrenar el mismo correo dos veces no duplica su peso.

Nunca aprende de sus propios veredictos. Aprender automáticamente a partir de un umbral suena eficiente y refuerza en silencio sus propios errores; una decisión mala se convierte en un sesgo. Solo acciones humanas explícitas.

Hay también una barrera de arranque en frío: el clasificador no puntúa nada hasta que tiene 20 ejemplos marcados como spam y 20 marcados como deseados. Por debajo de eso, la entrega se comporta exactamente igual que antes de que la función existiera. La formulación del propio producto es la versión más llana: necesita 20 de cada uno antes de empezar a puntuar, para que un par de clics no puedan nunca etiquetar mal su bandeja.

Una vez activo, su opinión entra como una señal ponderada y no como un veredicto aparte. La confianza alta — 95 por ciento o más de probabilidad de spam — lleva peso 4, lo que marca un mensaje como sospechoso por sí solo y lo archiva en Spam en cuanto haya una segunda señal, siendo la habitual el primer contacto de un desconocido. La confianza moderada lleva peso 2 y agudiza lo que se haya activado. Los umbrales son fijos: 3 avisa, 5 archiva.

¿Qué más está revisando su correo?

Tres capas alrededor del clasificador, todas confluyendo en la misma puntuación con los mismos códigos de motivo explicables.

Las heurísticas de contenido buscan evasión y no temas: texto HTML escondido del lector con tamaño de fuente cero, posicionado fuera de la pantalla o pintado del color del fondo; asuntos que escriben palabras ASCII con homoglifos de varios alfabetos; cuerpos que son esencialmente una imagen sin texto legible; enlaces lavados a través de acortadores de URL. Son individualmente débiles y llevan un peso deliberadamente bajo: existen para acumularse.

Las comprobaciones de reputación las decide quien administra y están desactivadas por defecto: una lista negra de IP en el borde receptor, una lista negra de dominios de enlaces y una comprobación de dominios de remitente registrados en los últimos 30 días. Desactivado significa desactivado: sin configuración no se hace ni una consulta DNS. Cuando se activan, esas consultas revelan la dirección del remitente al operador de la lista negra, que es exactamente por lo que son opcionales y no un valor por defecto.

La huella de envío masivo cuenta la difusión sin ningún servicio externo. El backend normaliza el cuerpo de un mensaje, lo resume con un hash y mantiene una ventana en memoria de una hora con qué huellas llegaron a cuántos buzones distintos; pasados cinco, las copias posteriores recogen una señal de envío masivo. Nada se persiste, un reinicio lo borra, y las listas de correo a las que uno está suscrito quedan exentas porque una lista popular envía legítimamente cuerpos idénticos a mucha gente.

Por encima de todo eso gana su lista de permitidos. Las señales del lado del spam de un remitente permitido quedan vetadas sin más. Las señales de fraude sobreviven al veto — un DMARC fallido o un nombre visible suplantado siguen contando — porque de lo contrario permitir a su banco sería una licencia para que cualquiera se hiciera pasar por él. Bloquear a un remitente produce un código de motivo terminante en lugar de una capa silenciosa, así que el aviso puede decirle que fue usted quien bloqueó a ese remitente en vez de dejarle adivinando.

¿Se puede ver lo que ha aprendido?

Sí, y esa página es la parte que yo le mostraría a cualquiera que desconfíe de la palabra IA aquí. Ajustes y luego Spam — al que se llega desde el menú contextual de la propia carpeta Spam, porque la carpeta es donde uno discute con el filtro — muestra el modelo explicándose: los recuentos de entrenamiento frente a la barrera, el tamaño del vocabulario y hacia dónde se inclina, los tokens que más tiran hacia el spam con las probabilidades exactas que suma el clasificador, cuánto correo examinó y archivó, por qué está ahí cada mensaje que hay ahora en Spam con las mismas frases que usa el aviso que ve el lector, y un gráfico de llegadas de 30 días. Treinta días porque es hasta donde recuerda la propia carpeta Spam, para que la ventana no insinúe datos que ya se habían barrido.

Dos invariantes sostienen esa página. Nada de su correo se guarda ni se perfila para producirla: ni contadores, ni filas de analítica, ni caché — abrir la página es lo que la calcula, a partir de su propio índice y su propio modelo. Y nunca presenta un recuento parcial como un total: pasado un tope de filas, dice qué porción contó.

Un filtro que se puede leer es un filtro que se puede corregir. Ese es casi todo el argumento para mantenerlo dentro del buzón.