AI に Slack を安全に読み書きさせる MCP 権限設計 ── user token を渡さず、user ごとに bot を払い出す

ナウキャストのエンジニアが、AIエージェントにSlackを読み書きさせる際の権限設計を紹介している。公式のSlack MCP serverは、ツールごとに必要なscopeをuser token前提で定義しており、検索や履歴閲覧では、DMやグループDMまで読める権限を求める。筆者らは、user tokenを一切渡さず、ユーザーごとに専用のSlack appを払い出し、bot tokenと最小scopeだけをAIに渡す方式を採った。

面白いのは、問題を設定の甘さではなく「可視性×scope」の掛け算として整理している点だ。Slackでは、できることは「どこが見えるか」と「何ができるか」の積で決まる。botは招待されたchannelしか見えず、user tokenは本人に見えるものすべてが見える。つまり、AIに見せる範囲を絞りたいなら、認可ロジックをMCPサーバーのコードに書くより、Slack側の招待の仕組みに任せた方が事故が少ないという判断になる。AIの視界を「誰がbotをchannelに招待したか」で決めるという発想は、権限を日々の運用に寄せる実務的な知恵だと言える。監査の面でも、bot名義の操作であれば「AIがやった」と後から区別できる。一方で、ユーザーごとにappを増やす運用負荷や、検索系APIがuser token専用である制約といった代償も、きちんと書かれている。

中小企業の情シスや現場の担当者が学べるのは、AIに社内チャットを渡す前に、どこまで見せるかをツールの便利さではなく、招待や権限の運用で決めることだ。まずは機密性の高いchannelにbotを入れない、という運用から始めるのが現実的である。