# 用户报告 Postman 自动安装 AI 插件并修改 Codex 与 Claude Code 配置

> 原标题：Postman silently auto-installs AI plugins and attempts to share all API data

- 来源：Hacker News 首页
- 发布时间：2026-11-03T17:22:37.000Z
- AX AI 日报：https://ai-daily.ax0x.ai/items/q91aahs5jdp1786hzw14wemu0
- 原文：https://github.com/postmanlabs/postman-app-support/issues/14370

## 摘要

一名用户报告，打开 Postman 12.33.4 后，应用自动安装了 Codex 和 Claude Code 插件，并加入启动指令与远程 MCP 连接。日志记录了自动安装，插件源码包含自行批准钩子的尝试，启动指令要求一般 API 工程任务加载 Postman 技能，用户还发现单独安装的 Postman CLI。

## 推荐理由

Postman 用户用安装日志和插件源码追查跨应用配置修改，将智能体集成的授权边界具体落到自动安装与钩子信任环节。

## 锐评

在代码里直接调用 approvePostmanHook 给自己盖戳信任，这种做法挺离谱的。

打开桌面端就静默安装插件，甚至把所有 API 工程任务强行路由给自己的 skill，完全是借着本地权限硬抢 agent 流量。传统工具面对 Claude Code 和 Codex 焦虑得不行，为了保住入口居然搞出静默捆绑和自批自用，把正经开发软件干成了流氓插件包。这种越权篡改别人配置的操作我绝不买账。