Usuarios informan que la aplicación de escritorio de Postman instala silenciosamente plugins de Codex y Claude Code; Postman no lo ha confirmado

Una incidencia abierta el 25 de octubre en el sistema de soporte de Postman afirma que Postman Desktop 12.33.4 instaló plugins en Codex y Claude Code por su cuenta después de que el usuario abriera la aplicación en un Mac. La prueba que aporta quien informó del caso es el propio registro de Postman, que indica una ejecución «auto-existing-upgrade» con «claude-code:installed» y «codex:installed» el 24 de octubre. La incidencia se compartió ampliamente en Hacker News el 3 de noviembre.

Según quien informó del caso, la instalación:

• añadió un plugin y un marketplace de Postman a la configuración global de Codex, con un hook de inicio de sesión que indica al agente que cargue una skill de Postman antes de cualquier tarea de ingeniería de API que no sea trivial;
• habilitó un plugin de Postman en Claude Code e instaló un CLI de Postman en ~/.local/bin;
• conectó un servidor MCP remoto que falló con el mensaje «Auth required».

Quien informó del caso dice que el código fuente del instalador también intenta marcar como confiable el hook de Codex de Postman, aunque el registro de confianza, por sí solo, no muestra quién lo creó. El informe no afirma que se hayan exfiltrado datos y señala que el problema aún no se ha reproducido en un Mac limpio. Pide a Postman que deje de instalarlo automáticamente para los usuarios existentes, elimine la autoaprobación de hooks y documente una desinstalación completa.

La incidencia seguía abierta el 3 de noviembre. Al menos otro usuario del hilo afirma que los mismos plugins se instalaron en su equipo tras actualizar Postman a la versión 12.35.1; los detalles son los que aporta quien informó del caso.

Más tarde ese día, una respuesta en el hilo escrita en nombre de Postman dijo que Postman incluye el CLI y los plugins de agente con la aplicación de escritorio porque muchos usuarios tenían problemas para configurarlos por separado, que esto se menciona en la página de descarga y durante el proceso de actualización, y que los componentes se pueden desinstalar desde la aplicación. También dijo que Postman hará más clara la opción de participar, especialmente para los usuarios existentes, y que está revisando la aprobación de hooks y el comportamiento de inicio de sesión; publicará novedades en el hilo.