Pengguna melaporkan aplikasi desktop Postman memasang plugin Codex dan Claude Code tanpa pemberitahuan; belum dikonfirmasi oleh Postman

Sebuah masalah yang dibuka pada 25 Oktober di pelacak dukungan Postman menyebutkan bahwa Postman desktop 12.33.4 memasang plugin ke Codex dan Claude Code dengan sendirinya setelah pengguna membuka aplikasi di Mac. Bukti yang disampaikan pelapor adalah log Postman sendiri, yang mencatat proses "auto-existing-upgrade" dengan "claude-code:installed" dan "codex:installed" pada 24 Oktober. Masalah ini banyak dibagikan di Hacker News pada 3 November.

Menurut pelapor, proses pemasangan tersebut:

• menambahkan plugin dan marketplace Postman ke konfigurasi global Codex, dengan hook saat sesi dimulai yang memberi tahu agen untuk memuat skill Postman sebelum mengerjakan tugas rekayasa API yang tidak sepele;
• mengaktifkan plugin Postman di Claude Code dan menempatkan Postman CLI di ~/.local/bin;
• menghubungkan server MCP jarak jauh yang gagal dengan pesan "Auth required".

Pelapor mengatakan kode sumber penginstal juga mencoba menandai hook Codex milik Postman sendiri sebagai tepercaya, meskipun catatan kepercayaan itu saja tidak menunjukkan siapa yang membuatnya. Laporan tersebut menyatakan bahwa laporan ini tidak mengklaim adanya eksfiltrasi data, dan masalahnya belum berhasil direproduksi pada Mac yang bersih. Pelapor meminta Postman berhenti memasang secara otomatis untuk pengguna lama, menghapus persetujuan otomatis untuk hook, dan mendokumentasikan proses penghapusan instalasi sepenuhnya.

Masalah tersebut masih terbuka pada 3 November. Setidaknya satu pengguna lain di utas itu mengatakan plugin yang sama terpasang di mesinnya setelah pembaruan ke Postman 12.35.1; detail tersebut berasal dari para pelapor sendiri.

Belakangan hari itu, sebuah balasan di utas tersebut yang ditulis atas nama Postman menyatakan bahwa Postman menyertakan CLI dan plugin agen bersama aplikasi desktop karena banyak pengguna kesulitan menyiapkannya secara terpisah; hal ini disebutkan di halaman unduhan dan dalam proses pembaruan, dan komponen tersebut dapat dihapus dari dalam aplikasi. Postman mengatakan akan memperjelas pilihan ikut serta, khususnya bagi pengguna lama, serta sedang meninjau persetujuan hook dan perilaku saat sesi dimulai, dengan pembaruan menyusul di utas tersebut.