開發工具 Postman 會自動幫 AI 代理裝外掛，不需開發者批准同意

測試 API 用的開發工具 Postman 被使用者在 GitHub 回報，桌面版升級後自動把外掛裝進 Codex、Claude Code 等 AI 程式代理，安裝程式還會自動核准自家外掛在 Codex 的啟動指令。issue 作者也寫明，報告並未證實資料外傳。
（前情提要：不是 Anthropic 遭駭！Cursor 確認市集上架惡意 Claude Code 擴充功能 2.1.313，已下架並公布修復步驟）
（背景補充：高盛限縮員工用 Claude Code！只剩工程師能用、交易員不爽）

測試 API 用的開發工具 Postman，被使用者回報桌面版會自動把外掛裝進 AI 程式代理（coding agent）。GitHub 帳號 indicava 在 10 月 25 日開出 issue。他指出，Mac 上的 Postman Desktop 12.33.4 替 OpenAI 的 Codex 與 Anthropic 的 Claude Code 裝了外掛，電腦裡也多了命令列工具 Postman CLI。

indicava 把這件事定性為「嚴重的同意與信任邊界問題」。他寫道，API 工具不該因為使用者打開它，就把自己設成其他工具的預設流程。

他貼出的 Postman 日誌顯示，10 月 24 日那筆安裝的來源是「auto-existing-upgrade」，指既有使用者升級時自動安裝。結果欄位寫著 claude-code:installed 與 codex:installed，安裝發生在他打開一段時間沒用的 Postman 之後。另一位使用者 ronthedrummer 11 月 3 日回報，他的 Postman 從 12.31.3 自動更新到 12.35.1，同一次啟動也裝上 CLI 與這兩個代理的外掛。

啟動指令寫進 Codex 設定

除了外掛，Codex 的全域設定還被加了一個 hook，也就是在特定時機自動執行的指令。這個 hook 掛在 SessionStart 事件，Codex 每次開新對話、清空或壓縮對話都會觸發。它會印出一段文字給 AI 代理，要求處理「任何非簡單的 API 工程任務」之前，先載入 postman:api-engineer 技能並照著做。

動區比對 postman-plugin 的公開原始碼，這段文字外層包著「EXTREMELY_IMPORTANT」標籤，適用範圍從設計一路到部署 API。文字最後也寫明，使用者在 AGENTS.md、CLAUDE.md 裡的指示與直接要求優先。indicava 說，這解釋了 Codex 為何一再把 API 工作導向 Postman 技能。

Codex 對外掛的 hook 設有一道確認。Postman 自己的安裝說明寫明，使用者透過 Codex app 或指令安裝時，hook 預設是未信任。下次啟動 Codex 會出現「Hooks need review」，要使用者核准。改用 Postman 那支會偵測電腦上所有代理的安裝程式，說明則寫著它會「替你核准」這個 hook。

indicava 引用的 codex-hooks.ts 原始碼中，approvePostmanHook 函式會先向 Codex 查出這個 hook 的雜湊值（依內容算出的校驗碼），再寫進設定檔的 trusted_hash 欄位。函式註解寫著「Approves only Postman’s current hook after installation」，意思是安裝後只核准 Postman 目前的 hook。這項功能來自 10 月 21 日合併的 PR #124，PR 說明也寫著「Hooks can run outside the sandbox」（hook 可以在沙盒之外執行）。依 Postman 的安裝說明，Codex 原本要使用者自己確認的步驟，在這條安裝路徑上由安裝程式代為完成。

indicava 也寫明，原始碼證明的是安裝程式「嘗試」核准，設定檔裡的信任紀錄本身，無法證明是誰寫入的。ronthedrummer 那台 12.35.1 的電腦，Codex 設定檔就沒有這筆紀錄。他事後也更正，自己沒有看到 Codex 的 hook 實際執行。

外掛也替 Codex 接上 Postman 託管的 MCP 伺服器。MCP 是讓 AI 代理連接外部服務的協定，這條設定指向 mcp.postman.com。indicava 的日誌顯示，連線因「Auth required」（需要登入驗證）啟動失敗。Claude Code 被啟用的是 Anthropic 官方外掛市集上的 Postman 外掛 2.0.1 版，使用者 ck-tecso 另在 GitHub Copilot 的設定檔裡找到 Postman 外掛。

issue 作者沒有主張資料外傳

這個 issue 開出後 8 天沒有留言，11 月 2 日起才陸續有人回應，隔天被貼上 Hacker News。HN 貼文標題寫 Postman「偷偷自動安裝 AI 外掛，並試圖分享所有 API 資料」，在 HN 11 月 3 日的首頁排行居第一。截至台灣時間 11 月 4 日下午 3 點半，貼文累積 1,197 分、392 則留言，當天第二名是 957 分。GitHub issue 則有 209 個讚與 38 則留言。

HN 標題提到的資料分享，issue 本文沒有提出證據。indicava 在報告結尾寫明，這份報告確立的是「不想要的整合與指令變更」，並沒有主張已證實資料外傳。ronthedrummer 也寫道，他沒有證據顯示資料被上傳。HN 發文者 sidgarimella 截至發稿沒有在討論串留言說明標題依據。

Postman 在外掛 README 揭露的是另一條資料流向。資料夾透過 postman init 連上 Postman 工作區（workspace）後，CLI 指令的執行結果會「預設」發布到該工作區。發布內容包括 collection 執行結果、lint 檢查結果，以及代理用 postman request 發出的 API 互動紀錄，可逐次加上 –report-events=false 關閉。

README 也寫明，經由 MCP 伺服器的工具呼叫「依設計」會送到 Postman。外掛的 api-engineer 技能則要求代理推送工作區內容前，先取得使用者同意。

Postman 承諾檢討 hook 核准

台灣時間 11 月 4 日清晨，GitHub 帳號 zecoquit 以「我們」的口吻代表 Postman 在串內回覆。動區查詢，這個帳號沒有公開列名 postmanlabs 組織成員，也沒有 postman-plugin 的提交紀錄。這則留言是它在 GitHub 上唯一一筆公開活動。

zecoquit 寫道：「我們把 Postman CLI 和代理外掛跟桌面版綁在一起，是因為很多使用者自己安裝、串接時遇到困難。」他表示下載頁與 app 更新流程都有提到這件事，使用者也能在 app 內解除安裝任何元件。他說會「讓選擇加入的方式更清楚，特別是對既有使用者」，團隊也正在檢討 hook 核准與 session-start 行為，改動上線後會在串內更新。

這則回覆截至發稿收到 25 個倒讚、2 個讚。留言者 ceberttylertech 反駁，選擇加入應該適用所有人，在新電腦安裝也不該出現這種行為。indicava 開票時要求停止對既有使用者自動安裝，並移除安裝程式自行核准 hook 的做法。zecoquit 的回覆目前承諾的是讓選擇加入更清楚。

動區比對網際網路檔案館（Wayback Machine）保存的 Postman 下載頁，10 月 24 日與 26 日的快照中「The Postman app」段落都沒有提到外掛。26 日的快照另有獨立的「Postman plugins」區塊，內容是請使用者把外掛加到自己的 AI 代理，沒有提到桌面版會自動安裝。

現行頁面則多了一句「The Postman app includes Postman CLI & Postman plugins」。官方版本說明只在 10 月 9 日的 12.31.7 版寫到 CLI 會隨 app 安裝，之後各版都沒提到外掛。app 更新流程裡的提示，動區無法檢視。

zecoquit 表示外掛可以在 app 內解除安裝。ck-tecso 回報，他點了「Help → Postman CLI and Plugins → Uninstall Postman Coding Agent Plugin」，Copilot 設定裡的 Postman 外掛仍在。他的電腦沒有裝 Claude Code、Codex 與 Cursor，無法確認這三個代理能不能移乾淨。

截至台灣時間 11 月 4 日下午，postman-plugin 的 main 分支仍保留 approvePostmanHook，官方安裝說明也還寫著會替使用者核准 hook。Postman 11 月 4 日推出的桌面版 12.35.2，版本說明只寫「critical bug fixes and enhancements」，沒有提到外掛安裝行為。

📍相關報導📍

Claude Code 推出 mods：內建功能、介面、行為全能換，核心越縮越小

Northflank 遭駭「金鑰全外洩」，Zeabur、Railway…部署平台連環爆

何一：幣安 2026 年已擋下 57 起疑似北韓攻擊，假面試與惡意開發工具是主軸