Nutzer berichten, Postmans Desktop-App installiere unbemerkt Plugins für Codex und Claude Code; von Postman nicht bestätigt

Ein am 25. Oktober im Support-Tracker von Postman eröffneter GitHub-Issue berichtet, dass Postman Desktop 12.33.4 eigenständig Plugins in Codex und Claude Code installiert habe, nachdem der Nutzer die App auf einem Mac geöffnet hatte. Als Beleg führt die meldende Person ein Postman-eigenes Protokoll an, das für den 24. Oktober einen Lauf mit „auto-existing-upgrade“ sowie „claude-code:installed“ und „codex:installed“ verzeichnet. Der Issue wurde am 3. November vielfach auf Hacker News geteilt.

Laut der meldenden Person hat die Installation:

• ein Postman-Plugin und einen Marketplace zur globalen Codex-Konfiguration hinzugefügt, einschließlich eines Session-Start-Hooks, der den Agenten anweist, vor jeder nicht trivialen API-Entwicklungsaufgabe eine Postman-Skill zu laden;
• ein Postman-Plugin in Claude Code aktiviert und eine Postman-CLI unter ~/.local/bin abgelegt;
• einen entfernten MCP-Server verbunden, der mit „Auth required“ fehlschlug.

Die meldende Person sagt, der Quellcode des Installers versuche außerdem, Postmans eigenen Codex-Hook als vertrauenswürdig zu markieren, wobei der Vertrauenseintrag allein nicht belege, wer ihn angelegt hat. Dem Bericht zufolge wird nicht behauptet, dass Daten abgeflossen seien; außerdem lasse sich das Problem auf einem sauberen Mac noch nicht reproduzieren. Postman wird aufgefordert, die automatische Installation für Bestandsnutzer zu beenden, die Selbstgenehmigung von Hooks zu entfernen und eine vollständige Deinstallationsanleitung bereitzustellen.

Der Issue war am 3. November noch offen. Mindestens ein weiterer Nutzer im Thread berichtet, dieselben Plugins seien nach einem Update auf Postman 12.35.1 auf seinem Rechner installiert worden; die Details stammen von den meldenden Personen selbst.

Später am selben Tag erklärte eine im Namen von Postman verfasste Antwort im Thread, Postman bündele die CLI und Agent-Plugins mit der Desktop-App, weil viele Nutzer Schwierigkeiten gehabt hätten, sie separat einzurichten. Darauf werde auf der Downloadseite und im Update-Ablauf hingewiesen; die Komponenten ließen sich in der App deinstallieren. Postman werde die Opt-in-Option deutlicher machen, insbesondere für Bestandsnutzer, und prüfe die Genehmigung von Hooks sowie das Verhalten beim Sitzungsstart. Weitere Informationen sollten im Thread folgen.