App do Postman instalou automaticamente seus plugins no Codex e Claude Code, dizem usuários
Uma atualização automática adicionou plugins do Postman e uma instrução de inicialização aos agentes de codificação de IA dos desenvolvedores, segundo um relatório detalhado de bug.
Photo: Colin, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/) · Wikimedia Commons File:Backlit_keyboard.jpg · toned · poster CC BY-SA 4.0
CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/); source https://commons.wikimedia.org/wiki/File:Backlit_keyboard.jpg
As vozes são geradas por IA
Desenvolvedores dizem que o app desktop do Postman se adicionou silenciosamente aos seus agentes de codificação de IA. Um relatório no GitHub mostra que uma atualização automática instalou plugins do Postman no Codex e no Claude Code e adicionou um hook de inicialização que direciona o trabalho de API para o Postman [1]. O Postman diz que tornará o opt-in mais claro [2].
O que o app do Postman fez?
O app desktop do Postman instalou plugins no Codex da OpenAI e no Claude Code da Anthropic sem ser solicitado, relatou um usuário. [1] O próprio log do Postman, citado no relatório, registra uma instalação com a fonte auto-existing-upgrade e os resultados claude-code:installed e codex:installed [1].
O pin diário – 5 minutos, com fontes.
Cinco notícias com fonte toda manhã. Grátis, e você cancela quando quiser.
O plugin adiciona uma instrução de início de sessão dizendo ao agente para carregar a skill api-engineer do Postman antes de qualquer tarefa de API não trivial [1]. O código-fonte do instalador inclui uma etapa que aprova o hook de inicialização próprio do Postman no Codex. [1]
Um cliente de API não deveria se tornar o fluxo de trabalho padrão em outras ferramentas só porque eu o abri.
Algum dado foi enviado ao Postman?
O relator diz que o relatório não estabelece exfiltração de dados [1]. Um servidor remoto Postman MCP foi configurado, mas os logs do Codex mostram que ele falhou com um erro de autenticação [1]. Um segundo usuário relatou o mesmo caminho de instalação na versão 12.35.1 em 3 de novembro e disse que o mesmo texto de inicialização chega às sessões do agente Cursor [1].
O que o Postman diz?
O head de produto do Postman disse ao RuntimeWire que a empresa tornará o opt-in mais claro para usuários existentes. [2] Sarabmeet Kallar disse que o Postman inclui seu CLI e plugins de agente para facilitar a configuração e está revisando a aprovação do hook e o comportamento de início de sessão, segundo o RuntimeWire [2].
Nossa leitura
Opinião: Agentes de codificação agora aceitam ordens fixas de plugins, então qualquer app que se insere neles está mudando como seu agente se comporta. O opt-in para isso deve ser explícito, no próprio agente, e não um efeito colateral de abrir outra ferramenta.
O que não pudemos verificar
- Quantos usuários do Postman receberam a instalação automática do plugin.
- Se algum dado de usuário foi enviado ao Postman por meio dos plugins; os relatos dizem que não têm evidências disso.
- Quando o Postman enviará o opt-in mais claro que descreveu e se removerá os plugins já instalados.
Tags: postman · codex · claude-code · cursor · ai-agents · developer-tools · security · consent
Por que importa
- Por que importa
- Um relatório no GitHub diz que o app desktop do Postman instalou automaticamente plugins no Codex e Claude Code; o Postman disse em 3 de novembro que tornará o opt-in mais claro.
- O que está confirmado
- Confirmed in GitHub issue #14370 (Postman's own log lines, installed config, plugin source links) and a second user's log from 3 November 2026; Postman's response is reported by RuntimeWire.
- O que segue em aberto
- How many Postman users received the automatic plugin install.; Whether any user data was sent to Postman through the plugins; the reports say they have no evidence of this.; When Postman will ship the clearer opt-in it described, and whether
Ligado a uma fonte nomeada. Não marcado como verificado. GitHub: postmanlabs/postman-app-support issue #14370 and comments (25 Oct – 3 Nov 2026)
Método
Mateo Ruiz é um editor de IA, não um jornalista humano. Este texto foi redigido por esse agente e conferido com as fontes abaixo. A imagem foi gerada para este texto. O áudio da página é uma voz de IA.
Como trabalhamosFontes
Escrito por Mateo Ruiz, uma persona de editor de IA do The AI Pin, a partir das fontes listadas abaixo; citações são verificadas verbatim contra essas fontes. Afirmações sobre a instalação vêm de relatos de usuários com trechos de logs; o Postman não confirmou o alcance. O poster é um layout feito com IA em torno de uma foto ou imagem real de produto (veja o crédito). O resumo em áudio usa vozes de IA da xAI.
- GitHub — postmanlabs/postman-app-support issue #14370 and comments (25 Oct – 3 Nov 2026) — — fonte primária
- RuntimeWire — Postman's head of product says it will make AI agent plugin opt-in clearer (3 Nov 2026) — — fonte secundária