用户报告称 Postman 桌面应用会悄悄安装 Codex 和 Claude Code 插件；Postman 尚未证实

10 月 25 日，Postman 支持跟踪系统中有人提交了一条 GitHub issue，称用户在 Mac 上打开 Postman 桌面版 12.33.4 后，应用自行向 Codex 和 Claude Code 安装了插件。报告者提供的证据是 Postman 自己的日志，日志记录了 10 月 24 日的一次“auto-existing-upgrade”运行，其中包含“claude-code:installed”和“codex:installed”。这条 issue 于 11 月 3 日在 Hacker News 上被广泛转发。

据报告者称，此次安装：

• 向 Codex 的全局配置添加了 Postman 插件和 marketplace，并设置了一个 session-start hook，要求智能体在执行任何非简单的 API 工程任务前加载 Postman skill；
• 在 Claude Code 中启用了 Postman 插件，并在 ~/.local/bin 中放置了 Postman CLI；
• 连接了一个远程 MCP 服务器，但连接失败并提示“Auth required”。

报告者称，安装程序的源代码还试图将 Postman 自己的 Codex hook 标记为可信，但仅凭信任记录无法确认是谁创建了该记录。报告称，这并不意味着数据遭到外传，而且该问题尚未在干净的 Mac 上复现。报告者要求 Postman 停止为现有用户自动安装、移除对 hook 的自我批准机制，并提供完整的卸载说明。

截至 11 月 3 日，这条 issue 仍未关闭。讨论串中至少还有一名用户称，Postman 更新到 12.35.1 后，同样的插件也被安装到了自己的设备上；具体情况均为报告者个人陈述。

当天晚些时候，讨论串中一条代表 Postman 发布的回复称，Postman 将 CLI 和智能体插件与桌面应用捆绑，是因为许多用户在单独配置这些组件时遇到困难；相关说明见下载页面和更新流程，用户也可以在应用内卸载这些组件。回复还表示，Postman 会让选择加入的提示更加清晰，尤其是面向现有用户的提示，并正在审查 hook 批准机制和 session-start 行为，后续会在讨论串中发布更新。