Des utilisateurs signalent que l’application de bureau Postman installe discrètement les plugins Codex et Claude Code ; Postman ne l’a pas confirmé

Un ticket GitHub ouvert le 25 octobre sur le forum d’assistance de Postman indique que Postman Desktop 12.33.4 a installé de son propre chef des plugins dans Codex et Claude Code, après que l’utilisateur a ouvert l’application sur un Mac. Les éléments présentés par l’auteur du signalement proviennent du journal de Postman, qui consigne le lancement d’une opération « auto-existing-upgrade » avec « claude-code:installed » et « codex:installed » le 24 octobre. Le ticket a été largement partagé sur Hacker News le 3 novembre.

Selon l’auteur du signalement, l’installation a :

• ajouté un plugin et une marketplace Postman à la configuration globale de Codex, avec un hook de démarrage de session qui indique à l’agent de charger une compétence Postman avant toute tâche d’ingénierie d’API non triviale ;
• activé un plugin Postman dans Claude Code et installé un CLI Postman dans ~/.local/bin ;
• connecté un serveur MCP distant qui a échoué avec le message « Auth required ».

L’auteur du signalement indique que le code source de l’installateur tente également de marquer comme fiable le hook Codex propre à Postman, mais que l’enregistrement de confiance ne permet pas, à lui seul, de savoir qui l’a créé. Le signalement précise qu’il ne prétend pas que des données ont été exfiltrées et que le problème n’a pas encore été reproduit sur un Mac vierge. Il demande à Postman de cesser les installations automatiques pour les utilisateurs existants, de supprimer l’auto-approbation des hooks et de documenter une désinstallation complète.

Le ticket était toujours ouvert le 3 novembre. Au moins un autre utilisateur du fil affirme que les mêmes plugins ont été installés sur sa machine après une mise à jour vers Postman 12.35.1 ; les détails proviennent des auteurs des signalements.

Plus tard dans la journée, une réponse publiée dans le fil au nom de Postman indiquait que Postman intègre le CLI et les plugins d’agent à l’application de bureau, car de nombreux utilisateurs avaient eu des difficultés à les configurer séparément. Elle précisait que cela est mentionné sur la page de téléchargement et lors du processus de mise à jour, et que les composants peuvent être désinstallés depuis l’application. Postman a indiqué qu’il rendrait l’option d’activation plus claire, en particulier pour les utilisateurs existants, et qu’il examinait l’approbation des hooks et leur comportement au démarrage de session ; des mises à jour suivront dans le fil.