Postman, один из самых популярных инструментов для работы с API, при обновлении сам установил свои плагины в ИИ-агенты для программирования — Claude Code и Codex. В Codex установщик ещё и заранее «одобрил» собственный хук, который при каждом запуске агента подсказывает ему использовать Postman для любой работы с API.
Разбираем, что именно изменилось на компьютерах разработчиков, что доказано, а что преувеличено в громких заголовках, и как проверить свою машину.
Коротко
- Обновление Postman для macOS версии 12.33.4 без запроса добавило плагины в Claude Code и Codex, хук для Codex, подключение к серверу Postman и консольную утилиту. Это записано в собственном логе приложения.
- Главная претензия разработчиков — не к самим плагинам, а к тому, что чужое приложение меняет настройки их ИИ-агентов и обходит запрос на доверие.
- Заголовок о том, что Postman «пытается передать все данные API», доказательствами не подтверждается: утечки в отчёте нет.
- Глава продукта Postman пообещал сделать согласие на установку плагинов понятнее и пересмотреть поведение хука.
Что произошло
25 октября пользователь с ником indicava открыл обращение в трекере поддержки Postman с пометкой «SEVERE». По его словам, после запуска Postman на Mac ИИ-агенты начали вести себя странно. Codex стал выдавать предупреждения об аутентификации и упорно направлять работу с API через навыки Postman.
Разбираясь, он нашёл в системе сразу несколько вещей, которые сам не устанавливал. Подтверждение нашлось в логе Postman: 24 октября в 09:34 UTC приложение запустило установку с источником auto-existing-upgrade и записало результат «claude-code:installed, codex:installed». То есть установка шла автоматически, при обновлении у существующего пользователя.
Обсуждение на Hacker News к 4 ноября набрало больше 1300 голосов и 450 комментариев. В самом обращении отписались десятки разработчиков, часть из которых сообщила, что удалила Postman.
Что именно появилось на компьютере
Чтобы понять претензию, нужно знать несколько терминов. Плагин для ИИ-агента добавляет ему навыки — готовые инструкции, как решать определённые задачи. Хук — это команда, которую агент выполняет автоматически при определённом событии, например при старте сессии. MCP — протокол, через который агент подключается к внешним сервисам и вызывает их инструменты.
По данным из обращения, после обновления в системе оказались:
- Плагин Postman в Codex. В глобальный конфиг ~/.codex/config.toml добавлены источник плагинов Postman на GitHub и включённый плагин версии 1.1.0.
- Хук на старт сессии. Он велит Codex загружать навык postman:api-engineer перед любой нетривиальной задачей с API — не только когда пользователь просит о Postman.
- Запись о доверии к хуку. В том же конфиге появился готовый хеш доверия для этого хука.
- Плагин в Claude Code. В ~/.claude/settings.json включён плагин Postman версии 2.0.1.
- Подключение к mcp.postman.com. У автора отчёта оно не прошло аутентификацию.
- Утилита Postman CLI в папке ~/.local/bin.
Позже в комментариях другой пользователь нашёл похожие записи в настройках GitHub Copilot. Пункт меню Postman для удаления плагинов, по его словам, из Copilot их не убрал.
Почему хеш доверия — главная претензия
Агенты вроде Codex не выполняют чужие хуки молча. Перед тем как доверить хуку запуск, они спрашивают разрешения у пользователя, а после согласия записывают хеш — отпечаток содержимого хука. Если хук изменится, хеш не совпадёт, и агент спросит снова.
В этом случае хеш, по данным из обращения, записал сам установщик Postman. Пользователь вопроса не видел. Автор отчёта называет это серьёзной проблемой согласия и границ доверия: приложение для работы с API сделало себя рабочим процессом по умолчанию в других инструментах только потому, что его открыли.
Если коротко: плагин можно было бы считать навязчивой рекламой, а самоодобренный хук — это уже обход механизма защиты, который агент предусмотрел специально для таких случаев.
Что преувеличено
На Hacker News история разошлась под заголовком «Postman молча ставит ИИ-плагины и пытается передать все данные API». Вторая часть этого заголовка доказательствами не подтверждается.
В самом обращении нет данных о том, что запросы, ответы или токены куда-то ушли. Подключение к серверу Postman было настроено, но у автора не прошло аутентификацию. Несколько разборов, например в блоге byteiota, прямо называют формулировку про данные преувеличением.
Значит ли это, что всё в порядке? Нет. Утечки не зафиксировано, но канал к внешнему серверу и инструкция направлять работу с API через Postman появились без ведома пользователя. Через Postman разработчики часто гоняют рабочие токены и реальные данные клиентов, поэтому вопрос, что увидит подключённый сервис, вполне практический.
Что ответил Postman
В самом обращении на момент нашей проверки 4 ноября официального ответа не было, оно оставалось открытым и без исполнителя. Комментарий компания дала изданию RuntimeWire.
Глава продукта Postman Сарабмит Каллар через пиар-агентство сообщил, что компания объединяет CLI и плагины для агентов, чтобы упростить настройку. По его словам, Postman сделает согласие на установку плагинов понятнее, особенно для существующих пользователей, и пересматривает поведение хука на старте сессии и его одобрения, пишет RuntimeWire.
Сроков и деталей компания не назвала. Будет ли следующая версия ставить плагины только по явному согласию, пока неизвестно.
Открытый вопрос. Должны ли сами ИИ-агенты защищать свои настройки от других программ? Сейчас любое приложение, работающее от имени пользователя, может записать в их конфиги что угодно, включая отметку о доверии.
Почему это важно не только для Postman
Настройки ИИ-агентов стали новой точкой влияния. Хук или навык, записанный в конфиг, меняет поведение агента во всех будущих сессиях, а пользователь может об этом не знать. В отличие от расширения в браузере, такие изменения обычно нигде не видны, пока не начнутся странности.
Postman здесь не злоумышленник, а вендор, который хотел упростить подключение своего продукта. Но механизм, который он использовал, доступен любой программе на компьютере. Поэтому отдельный вопрос — к разработчикам агентов: насколько легко их запрос на доверие обходится записью в файл.
Связь с другими историями недели тоже прямая. В отчёте Binance о краже $6,3 млрд один из шагов атаки прошёл через внутренний ИИ-инструмент компании. Рабочие инструменты разработчика, включая ИИ-агентов, становятся частью периметра, и их настройки нужно проверять так же, как настройки сервера.
Что проверить на своём компьютере
Если вы пользуетесь Postman вместе с Claude Code, Codex, Cursor или Copilot, проверка занимает несколько минут. Пути ниже — для macOS, их приводит автор обращения.
- Лог Postman. Откройте ~/Library/Application Support/Postman/logs/main.log и поищите строки auto-existing-upgrade и autoInstall.plugin. Они покажут, ставил ли Postman плагины у вас.
- Конфиг Codex. В ~/.codex/config.toml найдите разделы с postman: источник плагинов, сам плагин и запись hooks.state с хешем доверия. Если вы их не добавляли, удалите.
- Настройки Claude Code. Проверьте ~/.claude/settings.json и ~/.claude/plugins/installed_plugins.json на наличие плагина Postman.
- Copilot и другие агенты. По сообщениям в обращении, записи появлялись и в ~/.copilot. Проверьте конфиги всех агентов, которыми пользуетесь.
- Утилита в ~/.local/bin. Если Postman CLI вам не нужен, удалите его.
- Пункт удаления в Postman. В меню Help есть удаление плагина для агентов, но, судя по комментариям, он чистит не всё. После него всё равно проверьте файлы вручную.
Командам стоит добавить конфиги ИИ-агентов в обычный аудит рабочих машин. Это несколько файлов в домашней папке, и изменения в них легко отслеживать.
Вывод
История с Postman — не про утечку данных, а про согласие. Приложение для работы с API само встроилось в ИИ-агентов разработчиков и само себе выдало доверие, которое агент должен был запросить у человека.
Postman обещает исправиться, и это хорошо. Но сам случай показывает более широкую проблему: настройки ИИ-агентов пока почти никак не защищены от других программ на той же машине. Пока это не изменилось, проверять их придётся самим.
Комментарии