Postman diam-diam pasang plugin AI tanpa izin pengguna
Judul asli: Postman silently auto-installs AI plugins and attempts to share all API data
Mengapa Ini Penting
Instalasi plugin diam-diam mengancam kepercayaan pada tool developer yang memegang akses data API sensitif.
Postman versi 12.33.4 otomatis memasang plugin Claude Code dan Codex serta mengubah konfigurasi global pengguna tanpa persetujuan, terungkap dari laporan bug di GitHub pada 25 Oktober 2026.
Seorang pengguna Mac melaporkan bahwa membuka aplikasi Postman desktop memicu serangkaian perubahan yang tidak diinginkan pada agen kode miliknya. Log aplikasi dari `~/Library/Application Support/Postman/logs/main.log` mencatat secara eksplisit: `PostmanAgentPluginService~install: script completed {"source":"auto-existing-upgrade","results":["claude-code:installed","codex:installed"]}` — artinya Postman sendiri mengakui instalasi otomatis ini terjadi.
Selain memasang plugin, Postman juga mengubah file konfigurasi global Codex di `~/.codex/config.toml`, menambahkan entri marketplace yang mengarah ke repositori GitHub milik Postman. Installer bahkan berusaha mendaftarkan startup hook miliknya sendiri agar dipercaya sistem — langkah yang dinilai melanggar batas kepercayaan serius.
Pelapor menegaskan: "API client tidak seharusnya menjadikan dirinya workflow default di tool lain hanya karena pengguna membukanya." Versi Postman yang terlibat adalah 12.33.4, dengan plugin Codex versi 1.1.0. Respons resmi dari tim Postman belum tercatat dalam laporan bug tersebut.