用户报告 Postman 桌面版自动安装 AI 插件并改写 Codex 与 Claude Code 配置
Postman silently auto-installs AI plugins and attempts to share all API data
一名用户在 GitHub issue 中报告，打开 Postman 桌面版 12.33.4 后，Postman 自动为 Codex 和 Claude Code 安装了插件，并修改了全局配置。
此问题是否已有现成 issue？
- 我已搜索跟踪器中现有的类似 issue，并且我知道重复项将被关闭
描述问题
在我的 Mac 上打开 Postman 后，我的编码代理出现了意外变化：反复出现 MCP 身份验证警告，并且 Codex 反复将 API 工作路由到 Postman 技能。调查发现了一个用户级 Postman 插件、一个启动指令钩子、一个远程 MCP 连接、一个 Claude Code 插件，以及一个单独安装的 Postman CLI。
我认为自动更改无关的编码代理并试图批准你自己的指令钩子，是一个严重的同意与信任边界问题。一个 API 客户端不应仅仅因为我打开了它，就把自己变成其他工具中的默认工作流。
来自这台 Mac 的证据
Postman 桌面版：12.33.4。Codex Postman 插件：1.1.0。已安装源修订版：6c8e452e0f4237f4bcc0901cb1ac442dec707e49。调查时间：2026 年 10 月 25 日。
1. Postman 自己的日志明确记录了自动安装
来自 ~/Library/Application Support/Postman/logs/main.log，第 11562-11563 行，时间戳 2026-10-24T09:34:14.418Z（耶路撒冷时间 12:34）：
PostmanAgentPluginService~install: script completed
{"source":"auto-existing-upgrade","results":["claude-code:installed","codex:installed"],"installer":"script"}
Main: autoInstall.plugin.existing-user finished
{"outcome":"installed","platform":"darwin","exposed":true,"signedIn":true,"flagTimedOut":false,"useScript":true,"installer":"script","scriptResults":"claude-code:installed,codex:installed"}
2. Codex 的全局用户配置被更改
~/.codex/config.toml 的相关部分：
[marketplaces.postman] source_type = "git" source = "https://github.com/postmanlabs/postman-plugin.git" [plugins."postman@postman"] enabled = true [hooks.state."postman@postman:hooks/codex-hooks.json:session_start:0:0"] trusted_hash = "sha256:b67ddd1ece328f5a6f9103ce011bb58adb8411daea644f284732cff85d15cbb3" trusted_content_hash = "sha256:f3d02e32c39b39feaca37aec2b9bdbd308b6a2b7b3f7d2c52a0060e69eb9c345"
3. 该钩子告诉代理将广泛的 API 工作路由到 Postman
已安装的 hooks/codex-hooks.json 注册了一个 SessionStart 命令，匹配器为 startup|clear|compact。它会打印 hooks/session-start-context.md，其中包括：
在响应任何非平凡的 API 工程任务之前——设计、实现、模拟、测试、监控、记录或部署 API 或 Postman Flow——加载
postman:api-engineer技能并遵循它。
这解释了反复出现的 Postman 技能公告。该指令的范围远比用户明确要求使用 Postman 要宽泛得多。
来源：https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/hooks/session-start-context.md
钩子注册：https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/hooks/codex-hooks.json
4. 安装程序明确尝试批准自己的钩子
installer/src/hosts/codex.ts 在安装插件后调用 approvePostmanHook(system)。installer/src/hosts/codex-hooks.ts 使用 hooks/list 获取钩子哈希，并调用 config/batchWrite 以 trusted_hash 更新插入 hooks.state。源代码注释写道：“仅批准 Postman 在安装后的当前钩子”。
来源：https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/installer/src/hosts/codex-hooks.ts
调用方：https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/installer/src/hosts/codex.ts
源代码确立了批准尝试。仅凭信任记录并不能证明是谁创建了该特定记录，因此我不将其作为特定用户交互的证据。
5. 远程 MCP 在没有可用的已认证连接的情况下被启用
mcp.codex.json 指向 https://mcp.postman.com/mcp。Codex 日志包含：
MCP server startup failed server_name="postman"
... error: Auth required, when send initialize request
6. 该安装还影响了 Claude Code 并安装了一个 CLI
~/.claude/settings.json 启用了 postman@claude-plugins-official。~/.claude/plugins/installed_plugins.json 记录了版本 2.0.1，用户作用域，installedAt 和 lastUpdated 均为 2026-10-24T09:34:02.610Z。~/.local/bin 中存在一个 Postman 可执行文件及其 lib 目录，修改时间与安装时间窗口吻合。
私有路径、无关日志、账户标识符和凭据均已排除。本报告确认了非预期的集成和指令变更；但并未声称已确认数据外泄。
复现步骤
观察到的顺序（尚未在干净的 Mac 上复现）：
- 在一段时间未使用后，打开现有的 Postman 桌面安装。
- Postman 的日志记录了 auto-existing-upgrade 以及 Codex/Claude 安装成功。
- 启动 Codex。观察到 Postman MCP 认证失败，以及 API 任务加载 Postman 技能。
- 检查上述全局用户配置、缓存的插件钩子、安装程序源码和 Claude 安装记录。
预期：在其他应用程序中安装插件、添加远程连接以及信任钩子，均需在受影响的应用程序中获得明确、具体的主动同意。
实际：这些集成被自动安装，并添加了宽泛的启动指令。
截图或视频
无回复
操作系统
macOS
Postman 版本
12.33.4（Codex 插件 1.1.0；Claude 插件 2.0.1）
Postman 平台
Postman 应用
用户账户类型
已登录用户
其他上下文？
请求的回应：
- 将此视为严重的 product consent 和 security-boundary 事件，而非文档问题。
- 在获得明确主动同意之前，停止对现有桌面用户自动安装 agent-plugin/CLI。
- 移除安装程序侧对钩子的自我批准。钩子信任必须由用户在 agent 宿主中决定。
- 确定 auto-existing-upgrade 背后的确切发布/功能标志和同意流程，包括可以更改哪些其他 agent 和文件。
- 提供完整的回滚/卸载路径，涵盖 agent 配置、钩子信任、市场、缓存、MCP 连接和 CLI；尊重移除操作，不重新安装。
- 将启动技能指令收窄至明确的 Postman 请求，而不是让 Postman 成为通用 API 工程的默认选项。
我在保留证据后已移除本地 Postman 安装和集成。源链接固定到本地安装的确切 Codex 插件修订版本。我请求维护者以严重优先级进行分诊；我无法自行分配仓库标签。
Reacted by Rafael Wolf, Manuel Schnidrig, Shane Saunders, aaron-au, Angus Tang, Shawn Stawiarski, Neil Menne, Wayne Durack, Aaron Triplett, Jiaxiang Zhang 以及另外 38 人
Reacted by Giuseppe La Malfa 和 ZeroHackz
Reacted by Nikolay Dubina, Martin, Xavier Riu, Jeff LaPorte, mlahp7, Greg Bowler, Jess Johnson, Greg Sadetsky, tamasandor, Luca Andrea Rossi 以及另外 2 人
Reacted by ZeroHackz
Reacted by Nikolay Dubina, mlahp7, kneumann-hunter 和 tamasandor
来源：Hacker News · github.com