Postman の Claude Code プラグインが無断でインストール？AI プラグインをめぐる騒動

10 月 25 日、indicava というハンドル名の GitHub ユーザーが Postman のリポジトリに報告を投稿しました。Postman のデスクトップアプリが Postman の Claude Code プラグインと Codex プラグインを勝手にインストールし、その際にインストーラーが自分自身の起動 hook を承認したという内容です。11 月 3 日、この報告は Hacker News のトップに上がり、400 ポイント以上を集めました。

実際に何が起きたのか？

報告のタイトルは「[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook」です。投稿者は Mac 上の Postman Desktop 12.33.4 について説明し、自分のマシンで見つけたものを挙げています。

1. Claude Code の Postman プラグイン（postman@claude-plugins-official、バージョン 2.0.1）。ユーザー全体で有効になっていた。
2. Codex の Postman プラグイン（バージョン 1.1.0）。GitHub の marketplace と、すでに信頼済みとされた SessionStart 型の hook も一緒に入っていた。
3. ~/.local/bin の Postman CLI。更新日時がインストールの時間帯と一致していた。
4. mcp.postman.com の MCP サーバーのエントリ。「Auth required」というエラーで起動しなかった。

決め手はアプリのログです。10 月 24 日 9:34（UTC）、Postman は auto-existing-upgrade というイベントを記録しており、そこでは Claude Code と Codex のステータスが「installed」になっています。投稿者は意図してインストールを実行した覚えはないとし、オプトインでの同意、hook の自己承認の廃止、これを有効にしたフラグの開示、そして変更を完全に元に戻す手順を求めています。

Claude Code と Codex で Postman の hook は何をするのか？

hook の中身は postman-plugin リポジトリで公開されています。hooks/session-start-context.md というファイルが毎回のセッション開始時にエージェントのコンテキストへ入り、<EXTREMELY_IMPORTANT> タグで囲まれています。内容は、「あらゆる自明でない API エンジニアリングのタスク」（原文は「any non-trivial API engineering task」）に答える前に postman:api-engineer という skill を読み込め、というものです。つまり Postman で何かを頼んだときだけではありません。興味深いことに、ファイルの最後には CLAUDE.md や AGENTS.md を含むユーザーの指示が優先される、という但し書きがあります。

もう一つの論点は信頼です。Codex では新しい hook を承認する必要がありますが、プラグインの README は、Codex へのインストールが Postman の hook を自動で承認すること、そして別途確認するウィンドウは出ないことをはっきり書いています。インストーラーのコードでは approvePostmanHook という関数がこれを担い、codex app-server を通じて hook の信頼済みハッシュを保存します。

何か問題があるのか？

インストーラー自体は秘密ではありません。Postman のドキュメントによると、npx @postman/postman-plugin は検出されたすべてのエージェント（Claude Code、Codex、Cursor、GitHub Copilot CLI、OpenCode など）にプラグインをインストールし、--yes フラグを付けない限り確認を求めます。問題は、報告によればデスクトップアプリがアップデートの際に、何も聞かずにこれを実行したことです。

ここで冷静に見ておきましょう。Hacker News のタイトルは Postman が「すべての API データを共有しようとしている」と言っていますが、報告そのものはデータ漏えいが起きたとは明言していません。投稿者は、まっさらな Mac で一連の流れをまだ完全には再現できていないとも書いています。執筆時点で GitHub のスレッドに Postman からの回答はなく、ほかのコメントは主に他のユーザーの反応です（そのうち一人は、自分の環境でもアップデート後にスクリプトが自動で実行されたと書いています）。会社が説明するまでは、細部は慎重に受け止めましょう。

なぜこれほど話題になっているのか？

私たちがますます注意して見るようになっている点に触れているからです。つまり、誰が何をエージェントのコンテキストに書き足しているのか、ということです。起動 hook 付きのプラグインは、エージェントが毎セッション読む指示です。そして自己承認された hook は、Codex が人間に同意を求める唯一の場所を素通りします。HN のコメントでは Postman への独自の不満を書き込む人もいますが、それは意見であって、報告で確認された事実ではありません。

環境を守る方法については AI エージェントのセキュリティのガイドで書きました。エージェントとその harness とは何かについては、記事「AI エージェントとは」で説明しています。

今後気をつけるべきことは？

Postman Desktop をインストールしているなら、いくつかの場所を確認しておく価値があります（報告の投稿者も同じファイルを挙げています）。

1. Claude Code では、~/.claude/plugins/installed_plugins.json と ~/.claude/settings.json のプラグイン一覧。
2. Codex では、信頼済み hook を含む ~/.codex/config.toml ファイル。
3. ~/.local/bin ディレクトリに Postman CLI が現れていないか。

インストーラーには status（何がインストールされているか）と remove（検出されたすべてのエージェントからのアンインストール）というコマンドもあり、README に説明があります。（ドキュメントによると、--dry-run フラグを付けると、remove が何かを削除する前に何を変更するかを確認できます。） 一般的なルールとして、エージェントにどんなプラグイン、hook、MCP サーバーがつながっているか、ときどき見直しましょう。

よくある質問

Postman はプラグイン経由で私の API データをクラウドに送っているのか？

GitHub の報告はそうは言っていません。投稿者はデータ漏えいは確認していないとしており、挙げている外部アドレスは GitHub 上のプラグインのリポジトリと、投稿者の環境では起動しなかった MCP サーバー mcp.postman.com だけです。

Claude Code 用の Postman プラグインは公式のものか？

はい。Postman は Anthropic の公式 marketplace に postman@claude-plugins-official として掲載されています。争点はプラグインそのものではなく、報告によればそれがユーザーの同意なしにパソコンに入ったことです。

Claude Code と Codex から Postman プラグインを削除するには？

README によれば npx @postman/postman-plugin remove で済み、--agent <id> フラグを付けると変更を一つのエージェントに限定できます。ただし報告の投稿者は、信頼済み hook やキャッシュも含めた完全な取り消し手順を Postman に求めています。現時点ではそうした手順がないためです。