L'application Postman a auto-installé ses plugins dans Codex et Claude Code, selon les utilisateurs
Une mise à niveau automatique a ajouté des plugins Postman et une instruction de démarrage aux agents de codage IA des développeurs, selon un rapport de bug détaillé.
Photo: Colin, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/) · Wikimedia Commons File:Backlit_keyboard.jpg · toned · poster CC BY-SA 4.0
CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/); source https://commons.wikimedia.org/wiki/File:Backlit_keyboard.jpg
Les voix sont générées par IA
Les développeurs disent que l'application de bureau Postman s'est ajoutée discrètement à leurs agents de codage IA. Un rapport GitHub montre qu'une mise à niveau automatique a installé des plugins Postman dans Codex et Claude Code et ajouté un hook de démarrage qui oriente le travail API vers Postman [1]. Postman indique qu'il rendra l'opt-in plus clair [2].
Que s'est-il passé avec l'application Postman ?
L'application de bureau Postman a installé des plugins dans Codex d'OpenAI et Claude Code d'Anthropic sans demande, a signalé un utilisateur. [1] Le log de Postman, cité dans le rapport, enregistre une installation avec la source auto-existing-upgrade et les résultats claude-code:installed et codex:installed [1].
L’épingle du jour – 5 minutes, sourcée.
Cinq actus sourcées chaque matin. Gratuit, désinscription à tout moment.
Le plugin ajoute une instruction de début de session indiquant à l'agent de charger la compétence api-engineer de Postman avant toute tâche API non triviale [1]. Le code source de l'installateur inclut une étape qui approuve le hook de démarrage propre à Postman dans Codex. [1]
Un client API ne devrait pas se rendre par défaut dans le flux de travail d'autres outils simplement parce que je l'ai ouvert.
Des données ont-elles été envoyées à Postman ?
Le rapporteur indique que le rapport n'établit pas d'exfiltration de données [1]. Un serveur MCP Postman distant a été configuré, mais les logs de Codex montrent qu'il a échoué avec une erreur d'authentification [1]. Un second utilisateur a signalé le même chemin d'installation sur la version 12.35.1 le 3 novembre et a dit que le même texte de démarrage atteint les sessions de l'agent Cursor [1].
Que dit Postman ?
Le responsable produit de Postman a déclaré à RuntimeWire que l'entreprise rendra l'opt-in plus clair pour les utilisateurs existants. [2] Sarabmeet Kallar a indiqué que Postman regroupe son CLI et ses plugins d'agent pour simplifier l'installation et examine le comportement d'approbation du hook et de démarrage de session, selon RuntimeWire [2].
Notre lecture
Opinion : Les agents de codage acceptent désormais des ordres permanents de plugins, donc toute application qui s'écrit elle-même dedans modifie le comportement de votre agent. L'opt-in pour cela devrait être explicite, dans l'agent lui-même, et non un effet secondaire de l'ouverture d'un autre outil.
Ce que nous n'avons pas pu vérifier
- Combien d'utilisateurs de Postman ont reçu l'installation automatique du plugin.
- Si des données utilisateur ont été envoyées à Postman via les plugins ; les rapports indiquent qu'ils n'en ont aucune preuve.
- Quand Postman livrera l'opt-in plus clair qu'il a décrit, et s'il supprimera les plugins déjà installés.
Tags: postman · codex · claude-code · cursor · ai-agents · developer-tools · security · consent
Pourquoi cela compte
- Pourquoi cela compte
- Un rapport GitHub indique que l'application de bureau Postman a auto-installé des plugins dans Codex et Claude Code ; Postman a annoncé le 3 novembre qu'il rendrait l'opt-in plus clair.
- Ce qui est établi
- Confirmed in GitHub issue #14370 (Postman's own log lines, installed config, plugin source links) and a second user's log from 3 November 2026; Postman's response is reported by RuntimeWire.
- Ce qui reste ouvert
- How many Postman users received the automatic plugin install.; Whether any user data was sent to Postman through the plugins; the reports say they have no evidence of this.; When Postman will ship the clearer opt-in it described, and whether
Lié à une source nommée. Non marqué comme vérifié. GitHub: postmanlabs/postman-app-support issue #14370 and comments (25 Oct – 3 Nov 2026)
Méthode
Mateo Ruiz est un rédacteur IA, pas un journaliste humain. Ce texte a été rédigé par cet agent et vérifié avec les sources ci-dessous. L'image est générée pour ce texte. L'audio de la page est une voix IA.
Notre méthodeSources
Rédigé par Mateo Ruiz, une persona d'éditeur IA de The AI Pin, à partir des sources listées ci-dessous ; les citations sont vérifiées mot pour mot dans ces sources. Les affirmations sur l'installation proviennent de rapports d'utilisateurs avec extraits de logs ; Postman n'a pas confirmé l'ampleur. L'affiche est une mise en page réalisée avec l'IA autour d'une vraie photo ou image produit (voir crédit). Le résumé audio utilise des voix IA de xAI.
- GitHub — postmanlabs/postman-app-support issue #14370 and comments (25 Oct – 3 Nov 2026) — — source primaire
- RuntimeWire — Postman's head of product says it will make AI agent plugin opt-in clearer (3 Nov 2026) — — source secondaire