Gebruikers melden dat de desktopapp van Postman stilzwijgend Codex- en Claude Code-plug-ins installeert; Postman heeft dit niet bevestigd

Een GitHub-issue dat op 25 oktober werd geopend in het ondersteuningstrackingsysteem van Postman meldt dat Postman Desktop 12.33.4 uit zichzelf plug-ins in Codex en Claude Code installeerde nadat de gebruiker de app op een Mac had geopend. Als bewijs deelt de melder een logbestand van Postman zelf, waarin op 24 oktober een run met de aanduiding "auto-existing-upgrade" staat, met de vermeldingen "claude-code:installed" en "codex:installed". Het issue werd op 3 november veel gedeeld op Hacker News.

Volgens de melder heeft de installatie:

• een Postman-plug-in en marketplace toegevoegd aan de globale configuratie van Codex, met een hook die bij het starten van een sessie de agent opdraagt eerst een Postman-skill te laden voordat die aan een niet-triviale API-engineeringtaak begint;
• een Postman-plug-in ingeschakeld in Claude Code en een Postman CLI in ~/.local/bin geplaatst;
• een verbinding gemaakt met een externe MCP-server die de foutmelding "Auth required" gaf.

De melder zegt dat de broncode van het installatieprogramma ook probeert de eigen Codex-hook van Postman als vertrouwd te markeren, hoewel de vertrouwensregistratie op zichzelf niet aantoont wie die heeft aangemaakt. Volgens het bericht wordt niet beweerd dat er gegevens zijn buitgemaakt en is het probleem nog niet gereproduceerd op een schone Mac. De melder vraagt Postman om te stoppen met automatische installaties voor bestaande gebruikers, de zelfgoedkeuring van hooks te verwijderen en een volledige verwijderingsinstructie te publiceren.

Op 3 november stond het issue nog open. Ten minste één andere gebruiker in de thread zegt dat dezelfde plug-ins na een update naar Postman 12.35.1 op diens machine zijn geïnstalleerd; de details zijn afkomstig van de melders zelf.

Later die dag zei een reactie in de thread, geschreven namens Postman, dat Postman de CLI en agentplug-ins bundelt met de desktopapp omdat veel gebruikers moeite hadden om ze afzonderlijk in te stellen, dat dit wordt vermeld op de downloadpagina en tijdens het updateproces, en dat de onderdelen vanuit de app kunnen worden verwijderd. Postman zou de opt-in duidelijker maken, vooral voor bestaande gebruikers, en onderzoekt de goedkeuring van hooks en het gedrag bij het starten van sessies. Verdere updates zouden in de thread volgen.