Postman 桌面版被曝自动给 Codex/Claude 装插件,还试图信任自家启动钩子

jedisct1 · x · 2026-11-04

有用户在 GitHub 提交 SEVERE 级 issue:Mac 上打开 Postman(12.33.4)后发现编码 agent 被意外改动——Codex 反复出现 MCP 认证警告、API 请求被路由到 Postman skills。排查发现 Postman 自动安装了用户级 Codex 插件、一个启动指令钩子、一个远程 MCP 连接、一个 Claude Code 插件，以及单独安装的 Postman CLI,Postman 自己的日志明确记录了这次自动安装。作者认为 API 客户端未经同意改动其他工具、并试图批准自己的启动钩子，是严重的同意与信任边界问题。