사용자들, Postman 데스크톱 앱이 알리지 않고 Codex와 Claude Code 플러그인을 설치한다고 제보… Postman은 확인하지 않아

10월 25일 Postman 지원 트래커에 올라온 GitHub 이슈에 따르면, 사용자가 Mac에서 Postman 데스크톱 앱을 연 뒤 Postman 12.33.4가 Codex와 Claude Code에 플러그인을 자체적으로 설치했다. 제보자가 제시한 증거는 Postman 자체 로그로, 10월 24일 "auto-existing-upgrade" 실행 기록과 함께 "claude-code:installed", "codex:installed"가 남아 있다. 이 이슈는 11월 3일 Hacker News에서 널리 공유됐다.

제보자에 따르면 설치 과정에서 다음과 같은 일이 벌어졌다.

• Codex의 전역 설정에 Postman 플러그인과 마켓플레이스를 추가하고, 사소하지 않은 API 엔지니어링 작업을 시작하기 전에 에이전트가 Postman 스킬을 불러오도록 지시하는 세션 시작 훅을 추가했다.
• Claude Code에서 Postman 플러그인을 활성화하고 ~/.local/bin에 Postman CLI를 설치했다.
• "Auth required" 오류가 발생한 원격 MCP 서버를 연결했다.

제보자는 설치 프로그램의 소스 코드가 Postman 자체 Codex 훅을 신뢰 대상으로 표시하려고도 한다고 말한다. 다만 신뢰 기록만으로는 누가 해당 기록을 만들었는지 알 수 없다. 제보 내용은 데이터가 유출됐다고 주장하지 않으며, 깨끗한 Mac에서 아직 문제가 재현되지 않았다고 밝힌다. 또한 Postman에 기존 사용자를 대상으로 한 자동 설치를 중단하고, 훅의 자체 승인을 제거하며, 완전한 제거 방법을 문서화해 달라고 요청한다.

이 이슈는 11월 3일에도 해결되지 않은 상태였다. 스레드의 다른 사용자 한 명 이상도 Postman 12.35.1로 업데이트한 뒤 같은 플러그인이 기기에 설치됐다고 말했지만, 구체적인 내용은 제보자들의 설명이다.

그날 늦게 스레드에 Postman을 대신해 작성된 답변은, 많은 사용자가 CLI와 에이전트 플러그인을 따로 설정하는 데 어려움을 겪어 Postman이 이를 데스크톱 앱에 번들로 제공하며, 다운로드 페이지와 업데이트 과정에 이 내용이 안내돼 있고 앱 안에서 구성 요소를 제거할 수 있다고 밝혔다. Postman은 특히 기존 사용자가 더 명확히 선택할 수 있도록 개선하고, 훅 승인 및 세션 시작 동작을 검토 중이며, 스레드에 후속 내용을 올리겠다고 했다.