Plugin Postman in Claude Code senza consenso? La polemica

Il 25 ottobre un utente di GitHub con il nickname indicava ha aperto una segnalazione nel repository di Postman: secondo lui l’app desktop di Postman ha installato da sola il plugin Postman in Claude Code e in Codex, e l’installer ha anche approvato il proprio hook di avvio. Il 3 novembre la segnalazione è arrivata in cima a Hacker News con oltre 400 punti.

Cosa è successo esattamente?

La segnalazione si intitola «[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook». L’autore descrive Postman Desktop nella versione 12.33.4 su Mac ed elenca cosa ha trovato sul suo computer:

1. Il plugin Postman in Claude Code (postman@claude-plugins-official, versione 2.0.1), attivo per l’intero utente.
2. Il plugin Postman in Codex (versione 1.1.0), insieme a un marketplace da GitHub e a un hook di tipo SessionStart già segnato come attendibile.
3. Postman CLI in ~/.local/bin, con date di modifica che coincidono con la finestra di installazione.
4. Una voce per un server MCP su mcp.postman.com, che non è partito con l’errore «Auth required».

La prova principale è il log dell’app: il 24 ottobre alle 9:34 UTC Postman ha registrato un evento auto-existing-upgrade in cui Claude Code e Codex risultano «installed». L’autore scrive di non aver avviato consapevolmente nessuna installazione e chiede un consenso opt-in, l’eliminazione dell’auto-approvazione dell’hook, il nome del flag che ha attivato tutto questo e una procedura completa per annullare le modifiche.

Cosa fa l’hook di Postman in Claude Code e Codex?

Il contenuto dell’hook è pubblico nel repository postman-plugin. Il file hooks/session-start-context.md entra nel contesto dell’agente all’inizio di ogni sessione ed è racchiuso in un tag <EXTREMELY_IMPORTANT>. Ordina all’agente di caricare la skill postman:api-engineer prima di rispondere a «qualsiasi attività non banale di ingegneria delle API» (nell’originale «any non-trivial API engineering task»), quindi non solo quando gli chiediamo qualcosa in Postman. Curiosamente, in fondo al file c’è la precisazione che le istruzioni dell’utente, comprese quelle in CLAUDE.md e AGENTS.md, hanno la precedenza.

Il secondo punto è la fiducia. In Codex un nuovo hook va approvato, ma il README del plugin dice chiaramente che l’installazione in Codex approva da sola l’hook di Postman e che non c’è una finestra separata che lo chiede. Nel codice dell’installer se ne occupa la funzione approvePostmanHook, che tramite codex app-server salva l’hash attendibile dell’hook.

C’è davvero qualcosa che non va?

L’installer in sé non è un segreto. Secondo la documentazione di Postman, il comando npx @postman/postman-plugin installa il plugin in tutti gli agenti rilevati (tra cui Claude Code, Codex, Cursor, GitHub Copilot CLI e OpenCode) e chiede conferma, a meno di aggiungere il flag --yes. Il problema è che, secondo la segnalazione, l’ha avviato l’app desktop durante un aggiornamento, senza chiedere nulla.

Serve un po’ di realismo. Il titolo su Hacker News dice che Postman «cerca di condividere tutti i dati delle API», ma la segnalazione non sostiene che ci sia stata una fuga di dati. L’autore precisa anche di non aver ancora riprodotto l’intera sequenza su un Mac pulito. Nel momento in cui scrivo, nel thread su GitHub non c’è una risposta di Postman, e gli altri commenti sono soprattutto reazioni di altri utenti (uno scrive che da lui lo script è partito in automatico dopo un aggiornamento). Prendiamo quindi i dettagli con cautela finché l’azienda non si esprime.

Perché se ne parla così tanto?

Perché tocca un tema che osserviamo con sempre più attenzione: chi aggiunge cosa al contesto dei nostri agenti. Un plugin con un hook di avvio è un’istruzione che l’agente legge in ogni sessione, e un hook auto-approvato aggira l’unico punto in cui Codex chiede il consenso a una persona. Nei commenti su HN alcuni aggiungono le proprie accuse a Postman, ma sono opinioni, non fatti emersi dalla segnalazione.

Ho già scritto su come proteggere il proprio ambiente nella guida sulla sicurezza degli agenti AI, e spiego cos’è un agente e il suo harness nell’articolo cos’è un agente AI.

A cosa fare attenzione d’ora in poi?

Se abbiamo installato Postman Desktop, conviene controllare alcuni punti (sono gli stessi file citati dall’autore della segnalazione):

1. In Claude Code, l’elenco dei plugin in ~/.claude/plugins/installed_plugins.json e ~/.claude/settings.json.
2. In Codex, il file ~/.codex/config.toml, compresi gli hook attendibili.
3. La cartella ~/.local/bin, per vedere se è comparso Postman CLI.

L’installer ha anche i comandi status (cosa è installato) e remove (disinstallazione da tutti gli agenti rilevati), descritti nel README. (Secondo la documentazione, il flag --dry-run mostra cosa cambierà remove prima di cancellare qualcosa.) Regola generale: ogni tanto controlliamo quali plugin, hook e server MCP sono collegati al nostro agente.

FAQ

Postman invia i miei dati API nel cloud tramite il plugin?

La segnalazione su GitHub non lo afferma. L’autore precisa di non aver rilevato fughe di dati, e gli unici indirizzi esterni che cita sono il repository del plugin su GitHub e il server MCP mcp.postman.com, che da lui non è partito.

Il plugin Postman per Claude Code è ufficiale?

Sì. Postman è disponibile nel marketplace ufficiale di Anthropic come postman@claude-plugins-official. La polemica non riguarda il plugin in sé, ma il fatto che, secondo la segnalazione, sia arrivato sul computer senza il consenso dell’utente.

Come rimuovo il plugin Postman da Claude Code e Codex?

Secondo il README basta npx @postman/postman-plugin remove, e il flag --agent <id> limita la modifica a un solo agente. L’autore della segnalazione chiede comunque a Postman una guida completa per tornare indietro, inclusi hook attendibili e cache, perché per ora non esiste.