تواجه Postman، منصة تطوير واجهة برمجة التطبيقات (API) التي يستخدمها ملايين المطورين، موجة من ردود الفعل العنيفة من المجتمع بعد أن نشر أحد المطورين دليلاً مفصلاً على أن تطبيق سطح المكتب الخاص به يقوم بتثبيت المكونات الإضافية للذكاء الاصطناعي بصمت في أدوات ترميز غير ذات صلة - ويكتب التكوين الذي يوجه عمل هؤلاء الوكلاء نحو Postman.

انفجر الجدل في الاتجاه السائد يوم الاثنين، عندما اجتذب منشور Hacker News بعنوان "Postman بصمت تثبيت المكونات الإضافية للذكاء الاصطناعي ومحاولات مشاركة جميع بيانات واجهة برمجة التطبيقات" ما يقرب من 800 صوت مؤيد في غضون ساعات، لتصبح واحدة من أكثر القصص التي تمت مناقشتها في المجتمع اليوم. الدليل الأساسي هو قضية GitHub العامة التي تم تقديمها على متتبع الدعم الرسمي لـ Postman في 25 أكتوبر، والتي لا تزال مفتوحة. لمزيد من السياق حول هذه القصة، راجع أخبار الذكاء الاصطناعي.

ما وجده المطور

المشكلة، التي تحمل عنوان "[SEVERE] يقوم سطح المكتب بالتثبيت التلقائي لمكونات Codex/Claude الإضافية؛ يحاول المثبت الوثوق بخطاف بدء التشغيل الخاص به،" تم رفعها بواسطة مطور يقوم بتشغيل Postman 12.33.4 على نظام التشغيل macOS. بعد فتح Postman، لاحظوا سلوكًا غير متوقع في وكلاء ترميز الذكاء الاصطناعي الخاصين بهم: تحذيرات متكررة لمصادقة MCP وCodex الخاص بـ OpenAI لتوجيه عمل واجهة برمجة التطبيقات (API) بشكل متكرر من خلال مهارات Postman.

أثناء البحث، وجد المطور مكونًا إضافيًا لـ Postman على مستوى المستخدم، وخطافًا لتعليمات بدء التشغيل، واتصال MCP عن بعد، ومكونًا إضافيًا لـ Claude Code، وPostman CLI مثبتًا بشكل منفصل - ولم يختاروا تثبيت أي منها.

الأدلة في هذه القضية ملموسة بشكل غير عادي. يسجل ملف السجل الخاص بـ Postman، في موقع محدد بطابع زمني، التثبيت التلقائي: إدخال JSON مع المصدر "auto-existing-upgrade" والنتائج "claude-code:installed" و"codex:installed"، متبوعًا بسطر سجل يقرأ "Main: autoInstall.plugin.existing-user انتهى."

تم أيضًا تعديل ملف تكوين Codex العام الخاص بالمطور. يعرض الإصدار أقسامًا جديدة تمت إضافتها إلى `~/.codex/config.toml` - وهو سوق Postman يشير إلى مستودع المكونات الإضافية لـ Postman، وإدخال يمكّن المكون الإضافي `postman@postman`.

خطاف بدء التشغيل

تتعلق النتيجة الأكثر إثارة للجدل بما يفعله البرنامج الإضافي بعد التثبيت. توثق المشكلة أن المكون الإضافي المثبت يسجل خطافًا يتم تشغيله عند بدء تشغيل الوكيل - مما يطابق أحداث جلسة بدء التشغيل والمسح والضغط - ويطبع التعليمات في سياق الوكيل.

توجه هذه التعليمات وكيل الذكاء الاصطناعي إلى تحميل مهارة "مهندس واجهة برمجة التطبيقات" الخاصة بـ Postman قبل الرد على "أي مهمة هندسية غير تافهة لواجهة برمجة التطبيقات"، وهي فئة تتضمن تصميم واجهة برمجة التطبيقات أو تنفيذها أو الاستهزاء بها أو اختبارها أو مراقبتها أو توثيقها أو نشرها. في الواقع، أي عمل في واجهة برمجة التطبيقات (API) يطلب المطور من وكيل الترميز الخاص به القيام به سيتم توجيهه من خلال سير عمل Postman، سواء كان المطور يستخدم Postman أم لا.

يتضمن التكوين المكتوب أثناء التثبيت أيضًا إدخالات التجزئة الموثوقة للخطاف نفسه - وهي السجلات التي تخبر نظام الوكيل بأن خطاف بدء التشغيل قد تمت الموافقة عليه. وصف المطور هذا الأمر بأنه المثبت "يحاول الموافقة على ربط التعليمات الخاص به"، وقام بتأطير السلوك العام باعتباره مشكلة خطيرة تتعلق بالموافقة وحدود الثقة. تقول المشكلة: "لا ينبغي لعميل واجهة برمجة التطبيقات (API) أن يجعل من نفسه سير العمل الافتراضي في الأدوات الأخرى لمجرد أنني فتحته".

لماذا ضربت العصب

تُظهر مناقشة Hacker News وتعليقات المتابعة سبب صدى القصة خارج قاعدة مستخدمي أداة واحدة. يتم منح وكلاء تشفير الذكاء الاصطناعي مثل Codex وClaude Code بشكل متزايد وصولاً واسعًا إلى أنظمة المطورين، حيث تحدد ملفات التكوين والخطافات واتصالات MCP السياق الذي يتلقونه والتعليمات التي يتبعونها. إن البائع الذي يكتب نفسه في سلسلة الثقة هذه دون الاشتراك الصريح يمس الوعد الأساسي بأن الوكلاء سيتصرفون نيابة عن المستخدم - وليس نيابة عن البائع.

تعكس إشارة عنوان HN إلى مشاركة "جميع بيانات واجهة برمجة التطبيقات" الخوف من أن مثل هذه الخطافات قد توجه مفاتيح واجهة برمجة التطبيقات وحركة المرور وتفاصيل المشروع نحو خدمة خارجية؛ تركز مشكلة GitHub نفسها على آليات التوجيه والموافقة، والتي وثقها المراسل بالسجلات وملفات التكوين. جادل النقاد في المناقشة بأن هذا النمط - وهو تطبيق سطح مكتب يقوم بتثبيت مكونات إضافية مصاحبة في أدوات أخرى عند الإطلاق الأول - يشكل سابقة خطيرة لكيفية عمل عمليات الاستحواذ على برامج "Mindshare" في عصر الذكاء الاصطناعي.

حتى كتابة هذه السطور، تظل المشكلة مفتوحة مع أكثر من عشرين تعليقًا، ولم ينشر Postman ردًا عامًا يتناول سلوك التثبيت التلقائي. ولم يتم اتهام الشركة بنقل البيانات دون إذن في القضية نفسها؛ تتمحور الشكوى حول التثبيت الصامت والموافقة الذاتية على الخطافات.

حالة اختبار لمعايير توزيع الذكاء الاصطناعي

تأتي الحلقة وسط صراع أوسع نطاقًا حول المعايير في النظام البيئي للعملاء. أصبح لدى بائعي الأدوات الآن حدود جديدة للتنافس عليها: ليس فقط التثبيت، ولكن أيضًا تحميلها في كل سير عمل مدعوم بالذكاء الاصطناعي يقوم المطور بتشغيله. يعتبر وضع ساعي البريد بمثابة اختبار للخط الفاصل بين التكامل المريح والتوسع العدائي.

بالنسبة للمطورين، فإن الوجبات الجاهزة العملية ملموسة: من المفيد تدقيق ملفات تكوين الوكيل، وتسجيلات الارتباط، والمكونات الإضافية المثبتة بعد تحديث أدوات سطح المكتب - والتعامل مع أي تغيير غير مطلوب في تعليمات وكيل الذكاء الاصطناعي كحدث أمني. بالنسبة لبائعي الأدوات الذين يتسابقون ليصبحوا الطبقة الافتراضية في التطوير بمساعدة الذكاء الاصطناعي، فإن الرسالة من حوالي 800 تصويت مؤيد من Hacker News واضحة بنفس القدر: التثبيت الذاتي الصامت هو أسرع طريقة لتحويل علامة تجارية موثوقة إلى قصة تحذيرية.

---

ابق على اطلاع بأخبار الذكاء الاصطناعي

آخر أخبار وتحليلات وإنجازات الذكاء الاصطناعي — في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →