ユーザー報告：PostmanのデスクトップアプリがCodexとClaude Codeのプラグインを無断でインストール、Postmanは未確認

10月25日、PostmanのサポートトラッカーにGitHub issueが登録されました。報告者によると、MacでPostmanを起動したところ、Postman desktop 12.33.4がCodexとClaude Codeにプラグインを自動でインストールしたとのことです。根拠として示されたのはPostman自身のログで、10月24日に「auto-existing-upgrade」が実行され、「claude-code:installed」と「codex:installed」が記録されています。このissueは11月3日にHacker Newsで広く共有されました。

報告者によると、インストールによって次のことが起きました。

• Codexのグローバル設定にPostmanのプラグインとマーケットプレイスが追加され、実質的なAPIエンジニアリング作業の前にPostmanのスキルを読み込むようエージェントに指示するセッション開始フックが設定された。
• Claude CodeでPostmanのプラグインが有効になり、~/.local/binにPostman CLIが配置された。
• 「Auth required」エラーで接続に失敗するリモートMCPサーバーが追加された。

報告者によると、インストーラーのソースコードは、Postman独自のCodexフックを信頼済みとして扱うようにする処理も試みています。ただし、信頼済みの記録だけでは、誰が作成したかは分かりません。報告では、データが外部に流出したとは主張しておらず、クリーンなMacではまだ問題を再現できていないとしています。Postmanに対し、既存ユーザーへの自動インストールをやめ、フックの自己承認を削除し、完全なアンインストール手順を公開するよう求めています。

11月3日時点でissueは未解決でした。スレッドでは、別のユーザーもPostman 12.35.1へのアップデート後、同じプラグインが自分のマシンにインストールされたと報告しています。詳細は報告者自身の説明に基づくものです。

同日後刻、Postmanを代表する返信では、多くのユーザーが個別のセットアップに苦労していたため、PostmanはCLIとエージェントプラグインをデスクトップアプリに同梱していると説明されました。また、ダウンロードページとアップデート時の案内に記載があり、アプリ内からコンポーネントをアンインストールできるとのことです。Postmanは、特に既存ユーザー向けにオプトインの説明をより明確にし、フックの承認とセッション開始時の挙動を見直すと述べ、スレッドで続報を伝えるとしています。