Postman 被曝自动给 Codex、Claude Code 装插件

Postman 的 GitHub 支持仓库里有一个 10 月 25 日开的 issue（#14370），11 月 2—3 日（美国时间）被大量开发者转发。报告者贴出 Postman 桌面版 12.33.4 的日志：打开一台已登录的旧安装后，日志记录 auto-existing-upgrade，随后自动装好了 Codex 和 Claude Code 的 Postman 插件。

按 issue 里的描述，插件安装程序还会调用 Codex 的接口，替 Postman 自己的钩子写入 trusted_hash 信任记录，等于自己批准自己。11 月 3 日另一位用户在 12.35.1 上复现了同样的流程，结果列表里写着 claude-code、codex 安装成功，Cursor 已装过。

问题出在它改的是别的软件的配置。一个 API 客户端不经单独确认，就往编程 Agent 里加启动指令和远程连接，平时很难察觉。用 Codex 的可以查 ~/.codex/config.toml 里有没有 [plugins."postman@postman"] 和 hooks.state；用 Claude Code 的可以查 ~/.claude/settings.json 和 installed_plugins.json。站内写过 Claude Code 钩子护栏，可以对照着看。

注意：以上来自用户自查日志和 issue 讨论，两位报告者都写明没有发现数据外传的证据。Postman 方面称下载页和更新流程里有说明、应用内可以卸载，具体改动还没有发布。