¿El plugin de Postman en Claude Code sin permiso? La polémica

El 25 de octubre, un usuario de GitHub con el nombre indicava publicó un reporte en el repositorio de Postman según el cual la aplicación de escritorio de Postman instaló por su cuenta el plugin de Postman en Claude Code y en Codex, y además el instalador aprobó su propio hook de inicio. El 3 de noviembre el reporte llegó a lo más alto de Hacker News con más de 400 puntos.

¿Qué pasó exactamente?

El reporte se titula «[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook». El autor describe Postman Desktop en la versión 12.33.4 en un Mac y enumera lo que encontró en su equipo:

1. El plugin de Postman en Claude Code (postman@claude-plugins-official, versión 2.0.1), activado para todo el usuario.
2. El plugin de Postman en Codex (versión 1.1.0), junto con un marketplace de GitHub y un hook de tipo SessionStart que ya figuraba como de confianza.
3. Postman CLI en ~/.local/bin, con fechas de modificación que coinciden con la ventana de instalación.
4. Una entrada para un servidor MCP en mcp.postman.com, que no arrancó y dio el error «Auth required».

La prueba clave es el log de la aplicación: el 24 de octubre a las 9:34 UTC, Postman registró un evento auto-existing-upgrade en el que Claude Code y Codex aparecen como «installed». El autor dice que no lanzó ninguna instalación a sabiendas y pide consentimiento opt-in, que se elimine la autoaprobación del hook, que se indique qué flag activó esto y una forma completa de revertir los cambios.

¿Qué hace el hook de Postman en Claude Code y Codex?

El contenido del hook es público en el repositorio postman-plugin. El archivo hooks/session-start-context.md entra en el contexto del agente al inicio de cada sesión y va envuelto en una etiqueta <EXTREMELY_IMPORTANT>. Le ordena al agente cargar la skill postman:api-engineer antes de responder a «cualquier tarea no trivial de ingeniería de APIs» (en el original, «any non-trivial API engineering task»), es decir, no solo cuando le pedimos algo en Postman. Curiosamente, al final del archivo se aclara que las instrucciones del usuario, incluidas las de CLAUDE.md y AGENTS.md, tienen prioridad.

El segundo tema es la confianza. En Codex hay que aprobar cada hook nuevo, pero el README del plugin dice claramente que la instalación en Codex aprueba sola el hook de Postman y que no hay una ventana aparte que lo pregunte. En el código del instalador lo hace la función approvePostmanHook, que guarda el hash de confianza del hook a través de codex app-server.

¿Hay algo mal aquí?

El instalador en sí no es secreto. Según la documentación de Postman, el comando npx @postman/postman-plugin instala el plugin en todos los agentes detectados (entre otros Claude Code, Codex, Cursor, GitHub Copilot CLI y OpenCode) y pide confirmación, salvo que añadamos el flag --yes. El problema es que, según el reporte, lo ejecutó la aplicación de escritorio durante una actualización, sin preguntar nada.

Aquí hace falta un baño de realidad. El título en Hacker News dice que Postman «intenta compartir todos los datos de las APIs», pero el reporte no afirma que haya habido una fuga de datos. El autor también aclara que todavía no reprodujo toda la secuencia en un Mac limpio. En el momento de escribir esto no hay respuesta de Postman en el hilo de GitHub, y el resto de comentarios son sobre todo reacciones de otros usuarios (uno cuenta que a él el script se le ejecutó automáticamente tras una actualización). Así que tomemos los detalles con cautela hasta que la empresa se pronuncie.

¿Por qué hace tanto ruido?

Porque toca algo que miramos cada vez con más atención: quién añade qué al contexto de nuestros agentes. Un plugin con hook de inicio es una instrucción que el agente lee en cada sesión, y un hook autoaprobado se salta el único punto en el que Codex pide permiso a una persona. En los comentarios de HN algunos añaden sus propias quejas sobre Postman, pero eso son opiniones, no hechos del reporte.

Ya escribí sobre cómo proteger tu entorno en la guía sobre seguridad de los agentes de IA, y explico qué es un agente y su harness en el artículo qué es un agente de IA.

¿Qué conviene vigilar a partir de ahora?

Si tenemos instalado Postman Desktop, vale la pena revisar algunos sitios (son los mismos archivos que menciona el autor del reporte):

1. En Claude Code, la lista de plugins en ~/.claude/plugins/installed_plugins.json y ~/.claude/settings.json.
2. En Codex, el archivo ~/.codex/config.toml, incluidos los hooks de confianza.
3. El directorio ~/.local/bin, por si apareció ahí Postman CLI.

El instalador también tiene los comandos status (qué está instalado) y remove (desinstalar de todos los agentes detectados), descritos en el README. (Según la documentación, el flag --dry-run muestra qué cambiará remove antes de borrar nada.) Una regla general: de vez en cuando, revisemos qué plugins, hooks y servidores MCP tiene conectados nuestro agente.

FAQ

¿Postman envía mis datos de API a la nube a través del plugin?

El reporte de GitHub no lo afirma. El autor aclara que no detectó ninguna fuga de datos, y las únicas direcciones externas que menciona son el repositorio del plugin en GitHub y el servidor MCP mcp.postman.com, que en su equipo no arrancó.

¿El plugin de Postman para Claude Code es oficial?

Sí. Postman está en el marketplace oficial de Anthropic como postman@claude-plugins-official. La polémica no es sobre el plugin en sí, sino sobre que, según el reporte, llegó al ordenador sin el consentimiento del usuario.

¿Cómo elimino el plugin de Postman de Claude Code y Codex?

Según el README, basta con npx @postman/postman-plugin remove, y el flag --agent <id> limita el cambio a un solo agente. Aun así, el autor del reporte le pide a Postman una guía completa para revertirlo todo, incluidos los hooks de confianza y la caché, porque por ahora no existe.