उपयोगकर्ताओं का कहना है कि Postman का डेस्कटॉप ऐप चुपचाप Codex और Claude Code प्लगइन्स इंस्टॉल करता है; Postman ने इसकी पुष्टि नहीं की

25 अक्टूबर को Postman के सपोर्ट ट्रैकर पर दर्ज GitHub issue में कहा गया है कि Mac पर ऐप खोलने के बाद Postman डेस्कटॉप 12.33.4 ने अपने-आप Codex और Claude Code में प्लगइन्स इंस्टॉल कर दिए। रिपोर्ट करने वाले उपयोगकर्ता का सबूत Postman का अपना लॉग है, जिसमें 24 अक्टूबर को "auto-existing-upgrade" रन के दौरान "claude-code:installed" और "codex:installed" दर्ज हैं। यह issue 3 नवंबर को Hacker News पर व्यापक रूप से साझा किया गया।

रिपोर्ट करने वाले उपयोगकर्ता के अनुसार, इंस्टॉल ने:

• Codex के वैश्विक कॉन्फ़िगरेशन में Postman प्लगइन और मार्केटप्लेस जोड़ा, साथ ही एक session-start hook भी जो एजेंट को किसी भी गैर-मामूली API इंजीनियरिंग कार्य से पहले Postman skill लोड करने को कहता है;
• Claude Code में Postman प्लगइन सक्षम किया और ~/.local/bin में Postman CLI रखा;
• एक रिमोट MCP सर्वर से कनेक्ट किया, जो "Auth required" त्रुटि के साथ विफल हुआ।

रिपोर्ट करने वाले उपयोगकर्ता का कहना है कि इंस्टॉलर का सोर्स कोड Postman के अपने Codex hook को विश्वसनीय के रूप में चिह्नित करने की भी कोशिश करता है, हालांकि केवल trust record से यह पता नहीं चलता कि इसे किसने बनाया। रिपोर्ट में कहा गया है कि इसमें डेटा बाहर भेजे जाने का दावा नहीं किया गया है और समस्या को अभी किसी साफ़ Mac पर दोहराया नहीं जा सका है। इसमें Postman से मौजूदा उपयोगकर्ताओं के लिए ऑटो-इंस्टॉल बंद करने, hooks की स्वयं-अनुमोदन प्रक्रिया हटाने और पूरी तरह अनइंस्टॉल करने के निर्देश देने का अनुरोध किया गया है।

3 नवंबर को issue अब भी खुला था। थ्रेड में कम-से-कम एक अन्य उपयोगकर्ता का कहना है कि Postman 12.35.1 पर अपडेट करने के बाद उनकी मशीन पर भी वही प्लगइन्स इंस्टॉल हुए; विवरण रिपोर्ट करने वाले उपयोगकर्ताओं के अपने हैं।

उस दिन बाद में थ्रेड में Postman की ओर से लिखे गए एक जवाब में कहा गया कि Postman CLI और agent प्लगइन्स को डेस्कटॉप ऐप के साथ इसलिए शामिल करता है क्योंकि कई उपयोगकर्ताओं को उन्हें अलग से सेट अप करने में परेशानी हुई थी, और इसका उल्लेख डाउनलोड पेज तथा अपडेट प्रक्रिया में है; इन घटकों को ऐप के भीतर से अनइंस्टॉल किया जा सकता है। जवाब में कहा गया कि Postman ऑप्ट-इन को अधिक स्पष्ट करेगा, खासकर मौजूदा उपयोगकर्ताओं के लिए, और hook approval तथा session-start व्यवहार की समीक्षा कर रहा है; आगे के अपडेट थ्रेड में दिए जाएंगे।