Postman w Claude Code bez zgody? Burza wokół wtyczki AI

25 października użytkownik GitHuba o nicku indicava zgłosił w repozytorium Postmana, że aplikacja desktopowa Postman sama zainstalowała wtyczkę Postmana w Claude Code i Codexie, a instalator zatwierdził przy tym własny hook startowy. 3 listopada zgłoszenie trafiło na szczyt Hacker News i zebrało ponad 400 punktów.

Co właściwie się stało?

Zgłoszenie nosi tytuł „[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook”. Autor opisuje Postman Desktop w wersji 12.33.4 na Macu i wylicza, co znalazł na swoim komputerze:

1. Wtyczkę Postmana w Claude Code (postman@claude-plugins-official, wersja 2.0.1) włączoną dla całego użytkownika.
2. Wtyczkę Postmana w Codexie (wersja 1.1.0) razem z marketplace’em z GitHuba i hookiem typu SessionStart, który miał już zapisany status zaufanego.
3. Postman CLI w ~/.local/bin z datami modyfikacji pasującymi do okna instalacji.
4. Wpis o serwerze MCP pod mcp.postman.com, który nie wystartował z błędem „Auth required”.

Kluczowy dowód to log aplikacji: 24 października o 9:34 UTC Postman zapisał zdarzenie auto-existing-upgrade, w którym Claude Code i Codex mają status „installed”. Autor pisze, że nie uruchamiał instalacji świadomie i prosi o zgodę opt-in, usunięcie samozatwierdzania hooka, wskazanie flagi, która to włączyła, oraz pełną ścieżkę wycofania zmian.

Co robi hook Postmana w Claude Code i Codexie?

Treść hooka jest publicznie dostępna w repozytorium postman-plugin. Plik hooks/session-start-context.md trafia do kontekstu agenta na starcie każdej sesji i jest opakowany w znacznik <EXTREMELY_IMPORTANT>. Każe agentowi przed odpowiedzią na „każde nietrywialne zadanie z inżynierii API” (cytując „any non-trivial API engineering task”) załadować skill postman:api-engineer, czyli nie tylko wtedy, gdy prosimy o coś w Postmanie. Co ciekawe, na końcu pliku stoi zastrzeżenie, że polecenia użytkownika, w tym CLAUDE.md i AGENTS.md, mają pierwszeństwo.

Druga sprawa to zaufanie. Nowy hook w Codexie trzeba zatwierdzić, ale README wtyczki mówi wprost, że instalacja w Codexie sama zatwierdza hook Postmana i że nie ma osobnego okna z pytaniem. W kodzie instalatora robi to funkcja approvePostmanHook, która przez codex app-server zapisuje zaufany hash hooka.

Czy jest coś nie tak?

Sam instalator nie jest tajny. Według dokumentacji Postmana polecenie npx @postman/postman-plugin instaluje wtyczkę we wszystkich wykrytych agentach (m.in. Claude Code, Codex, Cursor, GitHub Copilot CLI, OpenCode) i pyta o potwierdzenie, chyba że dodamy flagę --yes. Problem w tym, że według zgłoszenia uruchomiła go aplikacja desktopowa przy aktualizacji, bez żadnego pytania.

Tu potrzebny jest reality check. Tytuł na Hacker News mówi, że Postman „próbuje udostępnić wszystkie dane API”, ale samo zgłoszenie wprost nie twierdzi, że doszło do wycieku danych. Autor zaznacza też, że nie odtworzył jeszcze całej sekwencji na czystym Macu. W chwili pisania w wątku na GitHubie nie ma odpowiedzi Postmana, a pozostałe komentarze to głównie reakcje innych użytkowników (jeden z nich pisze, że u niego skrypt uruchomił się automatycznie po aktualizacji). Traktujmy więc szczegóły z dystansem, dopóki firma się nie odniesie.

Dlaczego jest o tym głośno?

Bo dotyka czegoś, na co patrzymy coraz uważniej: kto i co dopisuje do kontekstu naszych agentów. Wtyczka z hookiem startowym to instrukcja, którą agent czyta w każdej sesji, a samozatwierdzony hook omija jedyne miejsce, w którym Codex pyta człowieka o zgodę. W komentarzach na HN część osób dodaje własne zarzuty wobec Postmana, ale to już opinie, nie ustalenia ze zgłoszenia.

Pisałem już o tym, jak chronić swoje środowisko, w poradniku o bezpieczeństwie agentów AI, a czym w ogóle jest agent i jego harness, wyjaśniam w tekście co to jest agent AI.

Na co zwrócić uwagę na przyszłość?

Jeśli mamy zainstalowany Postman Desktop, warto sprawdzić kilka miejsc (te same pliki wymienia autor zgłoszenia):

1. W Claude Code listę wtyczek w ~/.claude/plugins/installed_plugins.json i ~/.claude/settings.json.
2. W Codexie plik ~/.codex/config.toml, w tym zaufane hooki.
3. Katalog ~/.local/bin, czy nie pojawił się tam Postman CLI.

Instalator ma też polecenia status (co jest zainstalowane) i remove (odinstalowanie ze wszystkich wykrytych agentów), opisane w README. (Według dokumentacji flaga --dry-run pokazuje, co remove zmieni, zanim cokolwiek usunie.) Ogólna zasada: raz na jakiś czas przejrzyjmy, jakie wtyczki, hooki i serwery MCP ma podpięte nasz agent.

FAQ

Czy Postman wysyła moje dane API do chmury przez wtyczkę?

Zgłoszenie na GitHubie tego nie twierdzi. Autor zaznacza, że nie ustalił wycieku danych, a jedyne zewnętrzne adresy, jakie wymienia, to repozytorium wtyczki na GitHubie i serwer MCP mcp.postman.com, który u niego nie wystartował.

Czy wtyczka Postmana w Claude Code jest oficjalna?

Tak. Postman jest dostępny w oficjalnym marketplace Anthropic jako postman@claude-plugins-official. Spór nie dotyczy samej wtyczki, tylko tego, że według zgłoszenia trafiła na komputer bez zgody użytkownika.

Jak usunąć wtyczkę Postmana z Claude Code i Codexa?

Według README wystarczy npx @postman/postman-plugin remove, a flaga --agent <id> ogranicza zmianę do jednego agenta. Autor zgłoszenia prosi jednak Postmana o pełną instrukcję wycofania, łącznie z zaufanymi hookami i cache’em, bo takiej na razie nie ma.