Postman dodał wtyczki do Claude Code i Codex bez pytania

Co zmienił Postman w Claude Code i Codex

Autor zgłoszenia, użytkownik GitHuba o nazwie indicava, zauważył problem 25 października. Codex zaczął pokazywać błędy uwierzytelnienia i bez polecenia wczytywał umiejętności Postmana. Dzienniki aplikacji wskazały zdarzenie z 24 października oznaczone jako auto-existing-upgrade, czyli automatyczną aktualizację dla istniejących użytkowników, z informacją o instalacji w obu agentach.

Poniższa lista pochodzi ze zgłoszenia na GitHubie i opisuje jedną instalację na macOS. Część wątku dotyczy też innych systemów, ale tego nie potwierdziliśmy.

• Plik ~/.codex/config.toml - nowe źródło wtyczek, włączona wtyczka Postmana i wpis oznaczający hook startowy jako zaufany.
• Pliki ~/.claude/settings.json i ~/.claude/plugins/installed_plugins.json - włączona wtyczka Postmana w wersji 2.0.1.
• Katalog ~/.local/bin - program Postman CLI z datami pasującymi do instalacji.
• Konfiguracja wtyczki dla Codex - połączenie ze zdalnym serwerem MCP Postmana, czyli usługą udostępniającą agentowi dodatkowe narzędzia.

Dlaczego hook startowy budzi największe zastrzeżenia

Hook startowy to polecenie, które agent wykonuje na początku sesji, a jego wynik może stać się dodatkową instrukcją dla modelu. Codex wymaga, aby użytkownik sam przejrzał i zatwierdził taki element. Dokumentacja Postmana podaje jednak, że przy instalacji przez narzędzie firmy hook zatwierdza instalator, a ręczny przegląd obowiązuje tylko przy instalacji metodą Codex.

Sama wtyczka mogła być przydatna dla osób, które świadomie jej chciały. Spór dotyczy tego, że według zgłoszenia zmiana trafiła do działającego środowiska bez pytania. W naszej ocenie to poważniejsze niż zwykła niechciana aplikacja, bo agent programistyczny ma dostęp do kodu i poleceń systemowych, a nowa instrukcja wpływa na jego decyzje.

Co odpowiedział Postman

Firma nie opublikowała osobnego komunikatu, a jej stanowisko znamy z komentarzy w zgłoszeniu. Oznaczony jako członek organizacji użytkownik preethammavin napisał 5 listopada, że zmiana miała uprościć konfigurację, a komunikaty w aplikacji i na stronie okazały się niewystarczające. Dodał krótko: „we are reverting this change”.

Wcześniej tego samego dnia inny komentarz, pisany w imieniu zespołu, ale z konta bez oznaczenia członka organizacji, wyjaśniał, że instalowanie razem z aplikacją miało ułatwić start. Zapowiadał też wyraźniejszą zgodę dla obecnych użytkowników i przegląd zatwierdzania hooków.

Co pozostaje niepotwierdzone

Najpoważniejszy zarzut z mediów społecznościowych mówi o przechwytywaniu danych z API. The New Stack podkreśla, że zgłoszenie tego nie dokumentuje. Opisuje zmiany ustawień i połączenie z serwerem MCP, a to nie jest dowód na wyciek. Nie ma też niezależnego ustalenia, ilu użytkowników dotknęła zmiana.

Nieznany jest również termin wdrożenia wycofania oraz to, czy obejmie ono usunięcie wpisów z już zmienionych komputerów. Autor zgłoszenia twierdzi, że standardowe odinstalowanie nie sprząta wszystkiego, w tym zaufanych hooków, połączeń MCP i programu CLI.

Co sprawdzić na swoim komputerze

Najbardziej narażone są osoby, które używają Postmana na tym samym komputerze co agenta programistycznego. W firmach sprawę warto potraktować jak przegląd konfiguracji narzędzi deweloperskich, bez zakładania, że doszło do incydentu.

1. Sprawdź wersję Postmana i po udostępnieniu poprawki zaktualizuj aplikację.
2. Przejrzyj ~/.codex/config.toml oraz ustawienia Claude Code pod kątem nieznanych wtyczek, hooków i serwerów MCP.
3. Polecenie npx @postman/postman-plugin status pokazuje, w których agentach jest wtyczka, a remove ją usuwa. Opcja --dry-run pozwala najpierw zobaczyć planowane zmiany.
4. Po usunięciu wtyczki sprawdź pliki ponownie, bo autor zgłoszenia uważa, że sama komenda nie wystarcza.
5. W zespole ustal, kto zatwierdza wtyczki agentów, i porównuj ich konfigurację z listą dozwolonych elementów.

Szerszy problem zaufania do agentów programistycznych

Pliki konfiguracyjne agentów stają się nowym miejscem, o które konkurują dostawcy narzędzi. Podobne ryzyko pokazał opisany przez nas przypadek złośliwego rozszerzenia Claude Code w Cursorze, choć tam w grę wchodziło działanie celowo szkodliwe, a tu zarzut dotyczy braku zgody. Wspólny wniosek jest praktyczny. Ustawienia agenta należy traktować jak kod, czyli przeglądać i wersjonować każdą zmianę.