Ein Slack-Bot für Claude Code, der vor jedem Push nachfragt

Ein Slack-Bot für einen Coding-Agent macht aus einer Nachricht in Slack eine Anfrage an Claude Code oder Codex auf der Maschine eines Nutzers und postet das Ergebnis zurück in den Thread. muti gibt jedem Agent einen eigenen Bot mit eigenem Namen. Personen in deinem Workspace senden ihm eine DM oder erwähnen ihn in einem Channel – diese Nachricht ist die Aufgabe. Stammt die Anfrage nicht vom Besitzer des Agent, wartet sie, und der Besitzer gibt sie über Buttons in seiner eigenen DM frei. Pushes, destruktives Löschen, Ausgaben und der Zugriff auf Zugangsdaten werden niemals automatisch ausgeführt – für niemanden.

Dieser Beitrag erklärt, wie der Connector funktioniert, was „Allow always“ tatsächlich speichert und warum es der eigentliche Kern ist, Slack als nicht vertrauenswürdige Eingabe zu behandeln.

Was die meisten Bridges falsch machen

Die typische Bridge speichert ein Bot-Token, lauscht auf Erwähnungen und leitet den Text an ein lokales CLI weiter. Das funktioniert, bringt aber drei Probleme mit sich: Die Channel-Mitgliedschaft wird zum Berechtigungsmodell, niemand gibt den riskanten Schritt frei, und Fortschrittsmeldungen überfluten den Channel mit einer Nachricht pro Tool-Aufruf. Nichts davon ist ein Problem von Slack. Es sind Berechtigungsprobleme, die zufällig in Slack sichtbar werden.

Ein Channel-Thread zeigt die Anfrage und ihren Status; die Freigabe-Buttons befinden sich in der DM des Besitzers; der Agent läuft auf der Maschine des Besitzers.

Ein Bot pro Agent

Du erstellst die Slack-App aus einem Manifest, das muti für diesen Agent generiert. Dadurch trägt der Bot den Namen des Agent und seine eigenen Event-URLs. Es gibt nichts zu binden und keinen Befehl zu lernen:

• Schick dem Bot eine DM, und der Text wird zur Aufgabe. Die DM wird zu einem Raum, den du und der Besitzer des Agent teilen.
• Erwähne ihn in einem Channel, und dieser Channel wird bei der ersten Nutzung zu einem Gruppen-Raum in muti. Der Bot antwortet im Thread.
• Hänge Dateien an, und sie kommen als Raum-Anhänge an, die der Agent lesen kann – genau wie Web-Uploads.

Slack-Nutzer werden über die in Slack hinterlegte E-Mail-Adresse zu muti-Nutzern, verifiziert durch Slack innerhalb des eigenen Workspace des Besitzers. Wenn Slack die E-Mail verbirgt, sendet der Bot einen sechsstelligen Verknüpfungscode, der einmalig im Web eingelöst wird. In jedem Fall hängen Berechtigungen am Account, nicht an einem Anzeigenamen.

Das gleiche Gate wie im Web

Jede Anfrage durchläuft dasselbe Gate wie im Web. Eigene Nachrichten des Besitzers werden sofort ausgeführt. Alle anderen warten auf den Besitzer, es sei denn, der Besitzer hat sie für diesen Agent bereits dauerhaft autorisiert. Der Status landet im Thread: akzeptiert mit einer Anfrage-ID, wartend, laufend mit Zusammenfassungen der Tool-Aufrufe, abgeschlossen mit dem Ergebnis. Eine einzige Karte, die an Ort und Stelle aktualisiert wird, statt einer Nachricht pro Schritt.

Freigabe-Buttons und was „always“ bedeutet

Wenn eine Anfrage von jemand anderem eingeht oder ein Lauf einen Tool-Aufruf erreicht, der einen Menschen erfordert, erhält der Besitzer eine Karte in seiner DM mit drei Buttons: Allow, Allow always, Deny.

Allow gilt für diesen einzelnen Aufruf. Allow always speichert eine Regel für den Agent, die exakt so eng gefasst ist wie der Aufruf: diese Domain für WebFetch, dieses Befehlspräfix für Bash, dieser Skill nach Name, dieses Read-only-Tool. Zukünftige passende Aufrufe beantwortet muti ohne Prompt. Die Regeln sind im Dialog des Agent aufgelistet und widerrufbar.

Aufrufe gefährlicher Kategorien qualifizieren sich niemals für eine Regel und passen auf keine: Pushes auf geteilte Branches, destruktives Löschen, Rechteausweitung, Veröffentlichen und Deploys sowie das Lesen oder Schreiben von Zugangsdaten-Pfaden. Sie bleiben Einzelaufrufe mit ausschließlich Allow und Deny. Das ist die Umsetzung der vier Aktionen, die immer nachfragen sollten, für den Connector. Unbeantwortete Freigaben laufen nach 24 Stunden ab, genau wie Anfragen.

Was der Channel sieht

Anfragetext, Status und ID; Zusammenfassungen von Tool-Aufrufen; diff-Pfade und Zeilenzahlen; das Ende der Befehlsausgabe; erstellte Dateien und Links. Niemals: Umgebungsvariablen, Schlüsseldateien, den Working Tree oder Inhalte aus einem anderen Raum. Die Slack-Tokens werden verschlüsselt in muti gespeichert; auf der Maschine des Besitzers liegt nichts Slack-Bezogenes, sie behält ihre reine Outbound-daemon-Verbindung. Siehe was der Daemon hochlädt.

Einrichtung

1. Öffne in der Konsole Slack für den Agent, den du bereitstellen möchtest, und erstelle eine Slack-App aus dem generierten Manifest. Lade nach Wunsch den Avatar des Agent als App-Icon hoch; der Assistent zeigt ihn an.
2. Füge die beiden Strings aus den Einstellungen der App ein. muti ruft Slack einmal auf, findet dich anhand deiner E-Mail und verknüpft dich als Besitzer, sodass Freigabe-Buttons sofort funktionieren.
3. Installiere die App in deinem Workspace. Schicke dem Bot eine DM oder lade ihn in einen Channel ein und erwähne ihn.
4. Gib die erste Anfrage eines Teamkollegen in deiner DM frei. Verwende Allow always nur für die engen, unkritischen Aufrufe; lass bei den gefährlichen jedes Mal nachfragen.

Häufig gestellte Fragen

Benötigt der Bot meinen Slack-Admin? Die Installation einer App in einem Workspace erfordert üblicherweise eine Freigabe durch den Admin. Die App gehört dir und wird aus mutis Manifest erstellt, daher besitzt keine Drittanbieter-App dein Workspace-Token.

Können Channel-Mitglieder Freigaben für sich selbst erteilen? Nein. Die Freigabe obliegt dem Besitzer des Agent und trifft in dessen DM ein. Mitglieder können abbrechen oder Kontext hinzufügen.

Wie steht es um Feishu, Lark und DingTalk? Feishu/Lark folgt als Nächstes mit demselben Raum- und Freigabemodell; siehe das Feishu-Design. DingTalk danach.

Ist das dasselbe wie Claude Code Dispatch? Dispatch leitet deine Telegram-Nachrichten an deine eigene Session weiter. Dieser Connector ist für andere Personen gedacht – mit Freigaben; siehe Dispatch vs. ein Raum.

Der Raum übernimmt das Berechtigungsmodell; Slack ist nur ein weiterer Zugang dazu. Gib deinem Agent einen Raum.