iMessage MCP

Ein lokaler MCP-Server, der deinen macOS-Messages-Verlauf liest und neue iMessages sendet. Alles läuft lokal — nichts verlässt deinen Rechner.

Tools

Lese-Tools sind auf 200 Zeilen pro Aufruf begrenzt und schließen Tapbacks aus. Die beiden Sende-Tools sind überhaupt nicht registriert, solange nicht IMESSAGE_MCP_ALLOW_SEND=1 gesetzt ist — ein Host, der nur fürs Lesen konfiguriert ist, kann also nicht einmal versehentlich senden.

Related MCP server: imessage-mcp

Sicherheitsmodell

Das Lesen deiner Nachrichten und das Senden in deinem Namen sind sehr unterschiedliche Fähigkeiten, und beides in einer Agent-Sitzung zu vereinen ist der riskante Teil. Jeder, der dir eine Nachricht schicken kann, kann Text in get_recent_messages einschleusen — Nachrichteninhalte sind also Angreifer-kontrollierte Eingaben, die direkt neben einem Tool liegen, das in deinem Namen Nachrichten sendet.

Was dieser Server dagegen tut:

• Sende-Tools sind standardmäßig deaktiviert und müssen pro Host aktiviert werden.

• IMESSAGE_MCP_ALLOWED_RECIPIENTS schränkt ein, wer überhaupt angeschrieben werden kann.

• Jeder Sendeversuch und jedes Ergebnis wird vor und nach dem AppleScript-Aufruf in ein lokales Audit-Log geschrieben, sodass kein Senden ohne Protokolleintrag möglich ist.

• Ausgehende Nachrichten sind in der Länge begrenzt und dürfen nicht leer sein.

• Der Server macht MCP-instructions und Tool-spezifische Annotationen (readOnlyHint, destructiveHint) verfügbar, damit Hosts bei den gefährlichen Tools eine Rückfrage stellen können.

Was er nicht tut: Er kann ein Modell nicht davon abhalten, nach dem Lesen einer bösartigen Nachricht zu entscheiden, darauf zu reagieren. Wenn du Senden aktivierst, behalte eine Genehmigungsabfrage für die Sende-Tools bei.

Konfiguration

Alle optional. Setze sie in der Konfiguration deines MCP-Hosts, nicht in deinem Shell-Profil.

Setup

git clone https://github.com/tarun101/imessage-mcp.git
cd imessage-mcp
python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

Python 3.10 oder neuer. Alles unten geht davon aus, dass $REPO der absolute Pfad zu deinem Klon ist.

Die mcp-Abhängigkeit ist auf <2 festgelegt. Das 2.x-SDK hat mcp.server.fastmcp entfernt, das dieser Server importiert; eine Installation ohne Pinning zieht 2.x und schlägt beim Start fehl.

macOS-Berechtigungen (beide erforderlich)

1. Voller Festplattenzugriff — ohne ihn ist das Lesen von ~/Library/Messages/chat.db blockiert. Füge den Prozess, der den Server ausführt (Terminal, iTerm oder deine MCP-Host-App), unter Systemeinstellungen → Datenschutz & Sicherheit → Voller Festplattenzugriff hinzu und beende und öffne ihn dann vollständig neu.

2. Automation → Nachrichten — der erste send_message/send_to_chat-Aufruf löst eine einmalige Berechtigungsabfrage zur Steuerung der Messages.app aus. Erlaube sie.

Schnelltest

source .venv/bin/activate
python -c "import server; print(server.list_chats(5))"

Tests

pip install -e '.[dev]'
pytest

Die Suite erstellt eine synthetische chat.db mit Apples Schema und läuft daher überall — ohne Mac und ohne Zugriff auf deinen echten Nachrichtenverlauf.

Bei einem MCP-Host registrieren

Codex

codex mcp add imessage --env IMESSAGE_MCP_ALLOW_SEND=1 -- \
  "$REPO/.venv/bin/python" "$REPO/server.py"

Oder in ~/.codex/config.toml, was dir auch erlaubt, pro Tool eine Genehmigung zu verlangen:

[mcp_servers.imessage]
command = "/absolute/path/to/imessage-mcp/.venv/bin/python"
args = ["/absolute/path/to/imessage-mcp/server.py"]
default_tools_approval_mode = "auto"

[mcp_servers.imessage.env]
IMESSAGE_MCP_ALLOW_SEND = "1"

[mcp_servers.imessage.tools.send_message]
approval_mode = "prompt"

[mcp_servers.imessage.tools.send_to_chat]
approval_mode = "prompt"

Überprüfe mit /mcp in der Codex-TUI.

Claude Code (CLI)

claude mcp add imessage -- "$REPO/.venv/bin/python" "$REPO/server.py"

Claude Desktop / generische MCP-Konfiguration

{
  "mcpServers": {
    "imessage": {
      "command": "/absolute/path/to/imessage-mcp/.venv/bin/python",
      "args": ["/absolute/path/to/imessage-mcp/server.py"]
    }
  }
}

Verwende absolute Pfade, damit das Python der venv (mit installiertem mcp) verwendet wird.

Hinweise & Einschränkungen

• Nur-Lese-Datenbankzugriff. chat.db wird mit mode=ro geöffnet; der Server schreibt nie in deinen Nachrichtenspeicher. Senden läuft ausschließlich über Messages.app.

• WAL-Fallback. chat.db ist eine WAL-Datenbank, und ein Nur-Lese-Handle kann die benötigte -shm-Datei nicht erstellen. Wenn ein direkter Öffnungsversuch fehlschlägt — was passiert, wenn Messages.app nicht läuft — liest der Server stattdessen transparent eine temporäre Snapshot-Kopie, die bei jeder Änderung der Quelle aktualisiert wird.

• attributedBody. Neuere Nachrichten speichern ihren Inhalt in einem binären attributedBody-Blob statt in der text-Spalte. Der Reader dekodiert diese heuristisch — er erfasst normale Textnachrichten, kann aber Rich Content übersehen. Deshalb durchsucht search_messages nur die reine text-Spalte.

• Zeitstempel werden als ISO-8601-UTC zurückgegeben.

• Senden wird verifiziert, nicht vorausgesetzt. AppleScript kehrt vor der Zustellung zurück, daher fragt der Server nach dem Senden chat.db nach der ausgehenden Zeile ab. Ein Ergebnis von sent_unverified bedeutet, dass Messages.app es angenommen hat, es aber noch nicht angekommen ist — meist Verzögerung statt Fehler.

• Senden ist real. Diese Tools senden echte Nachrichten, die nicht zurückgeholt werden können.