Postman ने बिना पूछे AI plugins इंस्टॉल किए
मूल शीर्षक: Postman silently auto-installs AI plugins and attempts to share all API data
यह क्यों महत्वपूर्ण है
API tools का चुपचाप अन्य coding agents में हस्तक्षेप करना developer security के लिए गंभीर खतरा है।
Postman desktop app (v12.33.4) ने Mac पर बिना उपयोगकर्ता की सहमति के Claude Code और Codex plugins स्वतः इंस्टॉल किए और ~/.codex/config.toml फ़ाइल को बदल दिया। यह घटना 24 अक्टूबर 2026 को दर्ज की गई।
GitHub पर issue #14370 में एक उपयोगकर्ता 'indicava' ने बताया कि Postman खोलने के बाद उनके coding agents में अनचाहे बदलाव आए। Postman के अपने log (main.log, lines 11562-11563) में स्पष्ट लिखा था: 'autoInstall.plugin.existing-user finished' — और results में 'claude-code:installed, codex:installed' दर्ज था। इंस्टॉलेशन का source 'auto-existing-upgrade' बताया गया।
जाँच में पाया गया कि Postman ने user-wide plugin, एक startup instruction hook, एक remote MCP connection, Claude Code plugin, और एक अलग Postman CLI भी इंस्टॉल की। ~/.codex/config.toml में Postman का Git repository source जोड़ा गया, जिससे Codex का API workflow Postman के ज़रिए रूट होने लगा।
उपयोगकर्ता का आरोप है कि Postman ने अपने startup hook को खुद ही trust करने की कोशिश की — यह एक गंभीर consent और trust-boundary उल्लंघन है। एक API client का काम है API test करना, न कि दूसरे tools में खुद को default बनाना। Postman की ओर से अभी तक कोई आधिकारिक जवाब नहीं आया है।