Người dùng cho biết ứng dụng máy tính Postman âm thầm cài plugin Codex và Claude Code; Postman chưa xác nhận

Một vấn đề được mở ngày 25 tháng 10 trên hệ thống theo dõi hỗ trợ của Postman cho biết Postman Desktop 12.33.4 đã tự cài plugin vào Codex và Claude Code sau khi người dùng mở ứng dụng trên máy Mac. Bằng chứng của người báo cáo là nhật ký của chính Postman, ghi nhận một lần chạy "auto-existing-upgrade" với các mục "claude-code:installed" và "codex:installed" vào ngày 24 tháng 10. Vấn đề này được chia sẻ rộng rãi trên Hacker News vào ngày 3 tháng 11.

Theo người báo cáo, quá trình cài đặt:

• thêm plugin và marketplace của Postman vào cấu hình toàn cục của Codex, kèm một hook khi bắt đầu phiên, yêu cầu agent tải một skill của Postman trước mọi tác vụ kỹ thuật API không đơn giản;
• bật plugin Postman trong Claude Code và đưa Postman CLI vào ~/.local/bin;
• kết nối một máy chủ MCP từ xa nhưng máy chủ này báo lỗi "Auth required".

Người báo cáo cho biết mã nguồn của trình cài đặt cũng tìm cách đánh dấu hook Codex của chính Postman là đáng tin cậy, dù riêng bản ghi tin cậy không cho thấy ai đã tạo nó. Báo cáo nói họ không khẳng định dữ liệu đã bị tuồn ra ngoài và vấn đề vẫn chưa được tái hiện trên một máy Mac sạch. Họ đề nghị Postman ngừng tự động cài đặt cho người dùng hiện tại, bỏ việc tự phê duyệt hook và công bố hướng dẫn gỡ cài đặt đầy đủ.

Vấn đề vẫn chưa được giải quyết vào ngày 3 tháng 11. Ít nhất một người dùng khác trong chủ đề cho biết các plugin tương tự đã được cài trên máy của họ sau khi cập nhật Postman lên phiên bản 12.35.1; các chi tiết này là lời kể của người báo cáo.

Cuối ngày hôm đó, một phản hồi trong chủ đề, được đăng thay mặt Postman, cho biết Postman đóng gói CLI và plugin agent cùng ứng dụng máy tính vì nhiều người dùng gặp khó khăn khi tự thiết lập riêng, rằng việc này được đề cập trên trang tải xuống và trong quy trình cập nhật, đồng thời có thể gỡ cài đặt các thành phần này ngay trong ứng dụng. Phản hồi nói Postman sẽ làm rõ hơn việc chọn tham gia, đặc biệt với người dùng hiện tại, và đang xem xét lại việc phê duyệt hook cùng hành vi khi bắt đầu phiên; sẽ cập nhật thêm trong chủ đề.