Пользователи обнаружили, что приложение для работы с API самостоятельно меняет настройки ИИ-агентов и заставляет их использовать свои инструменты. В Postman объяснили происходящее заботой об удобстве и пообещали пересмотреть механизм установки.
Пользователи обнаружили, что приложение для работы с API самостоятельно меняет настройки ИИ-агентов и заставляет их использовать свои инструменты. В Postman объяснили происходящее заботой об удобстве и пообещали пересмотреть механизм установки.
На необычное поведение Postman пожаловался разработчик под ником indicava. После запуска приложения на Mac он заметил, что Codex начал постоянно предлагать инструменты Postman для работы с API, а также выдавать ошибки подключения к MCP-серверу.
Разработчик изучил журналы приложения и обнаружил, что 24 октября Postman версии 12.33.4 автоматически установил плагины в Codex и Claude Code. При этом пользователь не давал отдельного разрешения на изменение настроек ИИ-агентов.
В конфигурации Codex появился плагин Postman и специальный хук — инструкция, которая загружается при запуске агента, очистке контекста и его сжатии. Она предписывала Codex перед выполнением практически любой существенной задачи по разработке API сначала загружать навык postman и следовать его указаниям.
Таким образом, Postman фактически пытался сделать собственные инструменты стандартным выбором для работы с API, даже когда пользователь не просил их использовать.
Но обнаружилась и другая особенность. В исходном коде установщика разработчик нашел функцию, которая пытается самостоятельно пометить хук Postman как доверенный, обходя обычное подтверждение со стороны пользователя.
Также приложение добавило подключение к удаленному MCP-серверу Postman. Правда, оно не заработало из-за отсутствия авторизации. Отдельно установилась утилита Postman CLI.
Позднее другой пользователь сообщил, что столкнулся с аналогичной автоматической установкой уже в версии Postman 12.35.1. После обновления приложения у него появились плагины для Claude Code и Codex, а также CLI.
История вызвала возмущение на GitHub. Разработчики сравнивают поведение Postman с вредоносным ПО и жалуются на вмешательство в настройки других приложений.
В Postman объяснили, что начали устанавливать плагины вместе с десктопным приложением, поскольку у многих пользователей возникали трудности с их самостоятельным подключением. Компания утверждает, что предупреждает об этом на странице загрузки и при обновлении приложения, а установленные компоненты можно удалить через интерфейс Postman.
При этом разработчики признали недовольство пользователей и пообещали сделать запрос согласия на установку более понятным, особенно для тех, кто уже пользуется программой. Postman также пересматривает механизм автоматического одобрения хуков и инструкции, загружаемые при запуске ИИ-агентов.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.