开发者称Postman桌面版未经许可向Claude Code和Codex植入插件

他打开了 Postman。随后，两个 AI 编程代理在他未授权的情况下被更改了。

一位开发者称，Postman 桌面应用在未经其许可的情况下，向 Claude Code 和 OpenAI Codex 中安装了插件。该应用还试图自行批准其启动钩子，该钩子会指示 Codex 在 API 开发任务中使用 Postman 的工具。

这位在 GitHub 上名为“indicava”的开发者于 10 月 25 日报告了该问题，此前 Codex 开始显示身份验证错误，并反复在未被要求的情况下加载 Postman 技能。

这引发了人们的担忧：第三方应用可以轻易改变 AI 编程代理的工作方式，尤其是在这些更改未经明确同意的情况下发生。

未经许可安装的插件

根据该报告，在 macOS 上打开 Postman 桌面版 12.33.4 触发了一个影响 Claude Code 和 Codex 两者的安装过程。

GitHub issue 中包含的 Postman 应用日志显示，10 月 24 日发生了一次标记为 auto-existing-upgrade 的安装事件，结果表明两个编程代理的插件均已安装。

该开发者还发现 Codex 的用户级配置文件 ~/.codex/config.toml 被更改，包括启用了一个 Postman 插件、新增了一个插件市场以及一个受信任的会话启动钩子。

报告还发现机器上存在一个 Postman CLI 可执行文件，其时间戳与安装时间吻合。

Claude Code 的配置同样显示安装了一个 Postman 插件。报告还发现机器上存在一个 Postman CLI 可执行文件，其时间戳与安装时间吻合。

该开发者表示，他们并未明确授权这些更改。报告记录了一次 macOS 安装情况，该行为尚未在其他系统上被独立复现。

自我批准的启动钩子

但或许更有趣的是 Postman 究竟如何让 Codex 首先信任其插件。根据 Postman 自己的文档，其安装程序可以代表用户自动批准会话启动钩子。

根据 Postman 自己的文档，其安装程序可以代表用户自动批准会话启动钩子。

然而，直接通过 Codex 安装该插件的开发者必须自行审查并批准该钩子。安装程序的源代码确切展示了发生了什么。

Postman 检查 Codex 是否已信任该钩子。如果没有，安装程序会使用 config/batchWrite 将钩子的受信任哈希添加到 Codex 的配置中。它在批准前会检查钩子是否未被更改，如果批准失败或无法确认，则会记录一条消息，告知开发者在 Codex 中审查该钩子。

会话启动钩子可以自动向编程代理提供指令，即使开发者并未要求。Postman 的启动指令告诉 Codex 在处理大多数 API 开发任务之前加载 postman:api-engineer 技能。

Codex 仍应首先遵循开发者的指令。但对于许多 API 任务，它也被默认告知使用 Postman 的工具，无论开发者是否要求。

对于选择安装该插件的开发者来说，这可能是有用的。问题在于，据称 Postman 桌面应用在未经开发者许可的情况下将这些指令添加到了现有的编程环境中。

开发者提出安全担忧

这些发现引发了 GitHub 和 X 上开发者的批评。安全研究员 Frank Denis 在 X 上称这些集成为“垃圾”，并指出 Postman 的安装程序试图信任其自己的启动钩子。

Siddharth Garimella 更进一步，声称 Postman 的钩子拦截 API 数据并将其发送回公司。然而，GitHub 报告未提供任何证据表明 Postman 收集或传输了 API 数据。它记录的是对代理设置的更改和一个远程 MCP 连接，而非数据窃取。

该开发者还发现 Postman 配置了到其远程 MCP 服务器 https://mcp.postman.com/mcp 的连接，但 Codex 反复验证失败。

批评也蔓延到了 GitHub，一位评论者称该行为“不可接受，甚至在企业环境中制造风险”。另一位敦促 Postman 保持透明并请求许可。

谁控制代理

该开发者希望 Postman 停止在未经许可的情况下为现有用户安装插件，并将钩子批准权留给 Codex。他们还希望有一种能完全撤销更改的方法。

Postman 提供了卸载命令，但该开发者表示这还不够。移除集成还应清除对代理设置、受信任钩子、MCP 连接和已安装 CLI 工具的任何更改。

目前，开发者可以检查其 Claude Code 和 Codex 设置，查找不熟悉的插件、钩子或 MCP 连接。

Postman 的安装程序可以在无需通常手动审查的情况下批准其自己的 Codex 钩子。

此次投诉正值开发者争取对其编程代理拥有更多控制权之际。Postman 的安装程序可以在无需通常手动审查的情况下批准其自己的 Codex 钩子。仍未得到解答的是，为什么现有的桌面安装会在未经用户许可的情况下触发该过程。

The New Stack 联系 Postman 询问有关自动安装、钩子批准和用户同意的问题。截至发稿时，该公司尚未回应。

文章《He opened Postman. Then two AI coding agents changed without his permission.》首次发表于 The New Stack。