Gli utenti segnalano che l'app desktop di Postman installa silenziosamente i plugin di Codex e Claude Code; Postman non ha confermato

Una segnalazione aperta il 25 ottobre nel tracker dell'assistenza di Postman afferma che Postman Desktop 12.33.4 ha installato autonomamente dei plugin in Codex e Claude Code, dopo che l'utente aveva aperto l'app su un Mac. La prova fornita dall'autore della segnalazione è un log di Postman, che registra il 24 ottobre un'esecuzione «auto-existing-upgrade» con «claude-code:installed» e «codex:installed». La segnalazione è stata ampiamente condivisa su Hacker News il 3 novembre.

Secondo l'autore della segnalazione, l'installazione:

• ha aggiunto un plugin e un marketplace di Postman alla configurazione globale di Codex, con un hook di avvio della sessione che dice all'agente di caricare una skill di Postman prima di qualsiasi attività di ingegneria API non banale;
• ha abilitato un plugin di Postman in Claude Code e installato una CLI di Postman in ~/.local/bin;
• ha collegato un server MCP remoto che non è riuscito a connettersi, restituendo «Auth required».

L'autore della segnalazione afferma che il codice sorgente dell'installer cerca anche di contrassegnare come attendibile l'hook di Postman per Codex, sebbene il solo record di attendibilità non mostri chi lo abbia creato. La segnalazione precisa di non sostenere che siano stati esfiltrati dati e che il problema non è ancora stato riprodotto su un Mac pulito. Chiede a Postman di interrompere l'installazione automatica per gli utenti esistenti, rimuovere l'auto-approvazione degli hook e documentare una procedura completa di disinstallazione.

La segnalazione era ancora aperta il 3 novembre. Almeno un altro utente nella discussione afferma che gli stessi plugin sono stati installati sul suo computer dopo l'aggiornamento a Postman 12.35.1; i dettagli sono quelli forniti dagli autori delle segnalazioni.

Più tardi quello stesso giorno, una risposta nella discussione, scritta a nome di Postman, ha dichiarato che Postman include la CLI e i plugin per gli agenti nell'app desktop perché molti utenti avevano difficoltà a configurarli separatamente, che ciò è indicato nella pagina di download e durante il flusso di aggiornamento e che i componenti possono essere disinstallati dall'interno dell'app. Ha aggiunto che Postman renderà più chiara la scelta di attivazione, soprattutto per gli utenti esistenti, e che sta esaminando l'approvazione degli hook e il comportamento all'avvio della sessione; seguiranno aggiornamenti nella discussione.