Пользователи сообщают, что десктопное приложение Postman без предупреждения устанавливает плагины Codex и Claude Code; Postman это не подтвердил

В обращении, опубликованном 25 октября в службе поддержки Postman на GitHub, говорится, что десктопное приложение Postman 12.33.4 самостоятельно установило плагины в Codex и Claude Code после того, как пользователь открыл приложение на Mac. В подтверждение автор обращения приводит собственный журнал Postman: в нём за 24 октября зафиксирован запуск «auto-existing-upgrade» с записями «claude-code:installed» и «codex:installed». 3 ноября обращение широко обсуждали на Hacker News.

По словам автора обращения, установка:

• добавила плагин Postman и маркетплейс в глобальную конфигурацию Codex, а также хук начала сеанса, который предписывает агенту загружать навык Postman перед любой нетривиальной задачей по разработке API;
• включила плагин Postman в Claude Code и поместила CLI Postman в ~/.local/bin;
• подключила удалённый MCP-сервер, который выдал ошибку «Auth required».

Автор обращения утверждает, что исходный код установщика также пытается пометить собственный хук Postman для Codex как доверенный, хотя сама запись о доверии не показывает, кто её создал. В обращении говорится, что автор не утверждает, будто данные были переданы третьим лицам, и что проблему пока не удалось воспроизвести на чистом Mac. Автор просит Postman прекратить автоматическую установку для существующих пользователей, убрать автоматическое одобрение хуков и опубликовать инструкции по полному удалению.

На 3 ноября обращение оставалось открытым. Как минимум ещё один пользователь в обсуждении сообщил, что после обновления Postman до версии 12.35.1 на его компьютере установились те же плагины; подробности приводят сами авторы сообщений.

Позже в тот же день в обсуждении появился ответ от имени Postman. В нём сказано, что Postman включает CLI и плагины для агентов в десктопное приложение, поскольку многие пользователи испытывали трудности с их отдельной настройкой; об этом упоминается на странице загрузки и в процессе обновления, а компоненты можно удалить прямо из приложения. В ответе также говорится, что Postman сделает выбор согласия более понятным, особенно для существующих пользователей, и пересматривает процедуру одобрения хуков и их поведение при начале сеанса; дальнейшие обновления появятся в обсуждении.