Postman установил себя в чужие инструменты — без спроса

Разработчик просто открыл Postman на Mac — и обнаружил, что популярный API-клиент втихую установил плагины в два его AI-ассистента: OpenAI Codex и Anthropic Claude Code. Postman desktop версии 12.33.4 в ходе автоматического обновления без какого-либо диалога или подтверждения пользователя изменил файлы ~/.claude/settings.json и ~/.codex/config.toml. Инцидент зафиксирован в GitHub-issue #14370 и мгновенно собрал сотни реакций от разработчиков по всему миру.

⚠ Серьёзная проблема
Пользователь не устанавливал никаких плагинов вручную. Postman сделал это автоматически при обычном запуске приложения.

Что именно произошло

Разработчик под ником indicava подал баг-репорт 25 октября с логами, в которых источник события обозначен как auto-existing-upgrade, а результат — claude-code:installed, codex:installed. Версия Postman desktop — 12.33.4, Codex plugin — 1.1.0, Claude plugin — 2.0.1.

В ходе расследования обнаружился целый список нежелательных изменений: пользовательский Postman-плагин, startup-хук с инструкцией, удалённое MCP-соединение (Model Context Protocol — протокол взаимодействия между AI-агентами и инструментами), плагин Claude Code и отдельно установленный Postman CLI.


graph TD
    A[Пользователь открывает Postman 12.33.4] --> B[Триггер: auto-existing-upgrade]
    B --> C[Установка плагина в Codex]
    B --> D[Установка плагина в Claude Code]
    B --> E[Запись в ~/.codex/config.toml]
    B --> F[Запись в ~/.claude/settings.json]
    B --> G[Установка Postman CLI в ~/.local/bin]
    B --> H[Активация MCP-соединения с mcp.postman.com]
    C --> I[Startup-хук: перехват API-задач]
    H --> J[Ошибка: Auth required — соединение не работает]

Самое опасное: хук одобрил сам себя

Особую тревогу вызывает механизм доверия к хукам (hooks — это инструкции, которые выполняются при старте сессии AI-агента). Установщик Postman самостоятельно одобрил собственный Codex-хук, минуя стандартную процедуру ручного подтверждения пользователем.

Хук настраивает агента следовать инструкциям Postman по API-разработке перед любой нетривиальной API-задачей — и срабатывает при каждом старте сессии, а также при командах clear и compact.

По сути, Postman внедрил в AI-ассистент инструкцию: «Прежде чем заниматься любой API-разработкой — загружай скилл Postman». Это означало, что агент начинал выполнять работу через Postman даже тогда, когда пользователь об этом не просил.

# ~/.codex/config.toml — изменено автоматически
[marketplaces.postman]
source_type = "git"
source = "https://github.com/postmanlabs/postman-plugin.git"

[plugins."postman@postman"]
enabled = true

MCP-соединение включили, но оно не работало

Автоматически добавленная MCP-конфигурация направляла Codex на https://mcp.postman.com/mcp, однако логи Codex фиксировали ошибку запуска сервера с сообщением Auth required, when send initialize request — соединение было включено без рабочей аутентифицированной сессии.

ℹ MCP — что это?
MCP (Model Context Protocol) — открытый протокол, позволяющий AI-агентам взаимодействовать с внешними инструментами и сервисами. При неправильной реализации он создаёт серьёзные риски для безопасности.

А данные утекали?

«Этот отчёт устанавливает факт нежелательной интеграции и изменения инструкций — но не претендует на доказательство утечки данных.» — автор баг-репорта indicava

Ряд пользователей заявил, что хуки Postman перехватывают API-данные и отправляют их компании — однако GitHub-отчёт не содержит доказательств сбора или передачи данных: он документирует изменения в настройках агентов и удалённое MCP-соединение, но не кражу данных.

Масштаб изменений

Что измененоПутьСтатус
Конфиг Codex~/.codex/config.tomlПерезаписан
Настройки Claude Code~/.claude/settings.jsonИзменён
Список плагинов Claude~/.claude/plugins/installed_plugins.jsonСоздан
Postman CLI~/.local/bin/postmanУстановлен
MCP-соединениеmcp.postman.com/mcpАктивировано (не работает)
Startup-хук Codexhooks/codex-hooks.jsonСамостоятельно одобрен

Что требует автор и сообщество

Разработчик требует, чтобы Postman прекратил устанавливать плагины для существующих пользователей без их явного согласия и оставил одобрение хуков на усмотрение пользователя в агентском хосте.

Postman предоставляет команду для удаления, но этого недостаточно: удаление интеграции должно также очищать изменения в настройках агентов, доверенных хуках, MCP-соединениях и установленных CLI-инструментах.

💡 Проверьте свою систему

Если вы используете Postman вместе с Codex или Claude Code, немедленно проверьте:

  • ~/.codex/config.toml — наличие секции marketplaces.postman
  • ~/.claude/settings.json — наличие плагина Postman
  • ~/.local/bin/ — наличие исполняемого файла Postman CLI
  • Настройки MCP-соединений в вашем агенте

Почему это важно для индустрии

Спецификация MCP (редакция июль 2026) прямо требует, чтобы клиенты реализовывали надлежащие механизмы согласия перед выполнением команд. Процесс обновления Postman нарушил это требование.

Это уже второй MCP supply-chain инцидент за две недели — ранее бэкдор в Cursor затронул 5 000 разработчиков 30 октября.

Инцидент с Postman поднимает фундаментальный вопрос: где граница между удобной интеграцией и нарушением доверия пользователя? AI-агенты стали частью рабочего процесса миллионов разработчиков — и любой инструмент, получающий к ним тихий доступ, потенциально становится вектором атаки. Даже если намерения компании благие, автоматическое изменение конфигураций сторонних инструментов без явного согласия — это красная черта, переступать которую нельзя.