পোস্টম্যান, লক্ষ লক্ষ ডেভেলপারদের দ্বারা ব্যবহৃত API ডেভেলপমেন্ট প্ল্যাটফর্ম, একটি বিকাশকারী বিস্তারিত প্রমাণ প্রকাশ করার পরে সম্প্রদায়ের প্রতিক্রিয়ার তরঙ্গের সম্মুখীন হচ্ছে যে তার ডেস্কটপ অ্যাপটি নীরবে AI প্লাগইনগুলি সম্পর্কহীন কোডিং সরঞ্জামগুলিতে ইনস্টল করে — এবং কনফিগারেশন লেখে যা পোস্টম্যানের দিকে সেই এজেন্টদের কাজ পরিচালনা করে৷
বিতর্কটি সোমবার মূলধারায় বিস্ফোরিত হয়, যখন "পোস্টম্যান নীরবে স্বয়ংক্রিয়ভাবে AI প্লাগইন-ইনস্টল করে এবং সমস্ত API ডেটা ভাগ করার চেষ্টা করে" শিরোনাম একটি হ্যাকার নিউজ পোস্ট কয়েক ঘন্টার মধ্যে প্রায় 800 আপভোট ড্র করেছে, যা সম্প্রদায়ের দিনের সবচেয়ে আলোচিত গল্পগুলির মধ্যে একটি হয়ে উঠেছে। অন্তর্নিহিত প্রমাণ হল 25 অক্টোবর পোস্টম্যানের অফিসিয়াল সাপোর্ট ট্র্যাকারে দায়ের করা একটি পাবলিক গিটহাব ইস্যু, যা খোলা রয়েছে। For more context on this story, see our ongoing AI trends.
বিকাশকারী যা খুঁজে পেয়েছেন
"[SEVERE] ডেস্কটপ অটো-ইনস্টল কোডেক্স/ক্লাউড প্লাগইনস; ইনস্টলার তার নিজস্ব স্টার্টআপ হুককে বিশ্বাস করার চেষ্টা করে" শিরোনামের সমস্যাটি ম্যাকওএস-এ পোস্টম্যান 12.33.4 চালিত একজন বিকাশকারী দ্বারা দায়ের করা হয়েছিল। পোস্টম্যান খোলার পরে, তারা তাদের AI কোডিং এজেন্টগুলিতে অপ্রত্যাশিত আচরণ লক্ষ্য করেছে: পুনরাবৃত্তিমূলক MCP প্রমাণীকরণ সতর্কতা এবং OpenAI এর কোডেক্স পোস্টম্যান দক্ষতার মাধ্যমে API কাজকে বারবার রাউটিং করে।
খনন করে, বিকাশকারী একটি ব্যবহারকারী-ব্যাপী পোস্টম্যান প্লাগইন, একটি স্টার্টআপ নির্দেশনা হুক, একটি দূরবর্তী MCP সংযোগ, একটি ক্লাউড কোড প্লাগইন এবং একটি পৃথকভাবে ইনস্টল করা পোস্টম্যান সিএলআই খুঁজে পেয়েছে - যার কোনটিই তারা ইনস্টল করার জন্য বেছে নেয়নি।
ইস্যুতে প্রমাণ অস্বাভাবিকভাবে কংক্রিট। পোস্টম্যানের নিজস্ব লগ ফাইল, একটি নির্দিষ্ট টাইমস্ট্যাম্পড অবস্থানে, স্বয়ংক্রিয় ইনস্টলেশন রেকর্ড করে: "স্বয়ংক্রিয়-বিদ্যমান-আপগ্রেড" উত্স সহ একটি JSON এন্ট্রি এবং ফলাফল "ক্লাউড-কোড:ইনস্টলড" এবং "কোডেক্স:ইনস্টলড," এর পরে "মেইন: autoInstall.plugin.existing-user finished" লেখা একটি লগ লাইন।
বিকাশকারীর গ্লোবাল কোডেক্স কনফিগারেশন ফাইলটিও পরিবর্তন করা হয়েছে। ইস্যুটি `~/.codex/config.toml`-এ যোগ করা নতুন বিভাগ দেখায় — পোস্টম্যানের প্লাগইন সংগ্রহস্থলের দিকে নির্দেশ করে একটি পোস্টম্যান মার্কেটপ্লেস, এবং একটি এন্ট্রি যা `postman@postman` প্লাগইন সক্ষম করে।
স্টার্টআপ হুক
ইনস্টলেশনের পরে প্লাগইনটি কী করে তা নিয়ে সবচেয়ে বিতর্কিত অনুসন্ধান। ইস্যু ডকুমেন্টগুলি যে ইনস্টল করা প্লাগইনটি একটি হুক রেজিস্টার করে যা এজেন্ট স্টার্টআপে ফায়ার করে — স্টার্টআপ, পরিষ্কার, এবং কমপ্যাক্ট সেশন ইভেন্টের সাথে মিলে যায় — এবং এজেন্টের প্রসঙ্গে নির্দেশাবলী প্রিন্ট করে।
এই নির্দেশাবলী AI এজেন্টকে নির্দেশ দেয় পোস্টম্যানের "এপিআই-ইঞ্জিনিয়ার" দক্ষতা লোড করার আগে "যেকোন নন-তুচ্ছ API ইঞ্জিনিয়ারিং টাস্ক" এর উত্তর দেওয়ার জন্য, একটি বিভাগ যার মধ্যে একটি API ডিজাইন করা, বাস্তবায়ন করা, উপহাস করা, পরীক্ষা করা, পর্যবেক্ষণ করা, নথিভুক্ত করা বা স্থাপন করা অন্তর্ভুক্ত। প্রকৃতপক্ষে, ডেভেলপার তাদের কোডিং এজেন্টকে যে কোন API কাজ করতে বলে তা পোস্টম্যানের ওয়ার্কফ্লো দ্বারা রুট করা হবে, ডেভেলপার পোস্টম্যান ব্যবহার করুক বা না করুক।
ইনস্টলেশনের সময় লেখা কনফিগারেশনে হুকের জন্য বিশ্বস্ত-হ্যাশ এন্ট্রিও অন্তর্ভুক্ত ছিল — রেকর্ড যা এজেন্ট সিস্টেমকে বলে যে স্টার্টআপ হুক অনুমোদিত হয়েছে। বিকাশকারী এটিকে ইনস্টলার হিসাবে চিহ্নিত করেছে "নিজের নির্দেশ হুক অনুমোদন করার চেষ্টা করছে" এবং সামগ্রিক আচরণকে একটি গুরুতর সম্মতি এবং বিশ্বাস-সীমার সমস্যা হিসাবে তৈরি করেছে৷ "একটি API ক্লায়েন্টকে অন্য সরঞ্জামগুলিতে নিজেকে ডিফল্ট ওয়ার্কফ্লো করা উচিত নয় কারণ আমি এটি খুলেছি," সমস্যাটি পড়ে।
কেন এটি একটি স্নায়ুতে আঘাত করেছে
হ্যাকার নিউজ আলোচনা এবং ফলো-আপ ভাষ্য দেখায় কেন গল্পটি একটি একক টুলের ব্যবহারকারীর ভিত্তির বাইরে অনুরণিত হয়েছিল। কোডেক্স এবং ক্লড কোডের মতো এআই কোডিং এজেন্টগুলি বিকাশকারীদের সিস্টেমে ক্রমবর্ধমানভাবে বিস্তৃত অ্যাক্সেস মঞ্জুর করা হচ্ছে, কনফিগারেশন ফাইল, হুক এবং এমসিপি সংযোগের সাথে তারা কোন প্রেক্ষাপট গ্রহণ করবে এবং কোন নির্দেশাবলী অনুসরণ করবে তা নির্ধারণ করে। একজন বিক্রেতা একটি স্পষ্ট অপ্ট-ইন ছাড়াই সেই ট্রাস্ট চেইনে নিজেকে লিখতে গিয়ে মূল প্রতিশ্রুতিটি স্পর্শ করে যে এজেন্টরা ব্যবহারকারীর পক্ষে কাজ করবে — বিক্রেতার পক্ষে নয়।
"সমস্ত API ডেটা" ভাগ করে নেওয়ার জন্য HN শিরোনামের রেফারেন্সটি এই ভয়কে প্রতিফলিত করে যে এই ধরনের হুকগুলি এপিআই কী, ট্র্যাফিক এবং প্রকল্পের বিবরণ একটি বহিরাগত পরিষেবার দিকে চ্যানেল করতে পারে; গিটহাব সমস্যাটি নিজেই রাউটিং এবং সম্মতি মেকানিক্সের উপর ফোকাস করে, যা প্রতিবেদক লগ এবং কনফিগারেশন ফাইলগুলির সাথে নথিভুক্ত করেছেন। আলোচনায় সমালোচকরা প্যাটার্নটি যুক্তি দিয়েছিলেন - একটি ডেস্কটপ অ্যাপ প্রথম লঞ্চের সময় অন্যান্য সরঞ্জামগুলিতে সহচর প্লাগইনগুলি ইনস্টল করে - "মাইন্ডশেয়ার" এর এআই-যুগের সফ্টওয়্যার অধিগ্রহণ কীভাবে কাজ করতে পারে তার জন্য একটি বিপজ্জনক নজির স্থাপন করে।
এই লেখার সময়, সমস্যাটি বিশটিরও বেশি মন্তব্যের সাথে উন্মুক্ত রয়েছে এবং পোস্টম্যান স্বয়ংক্রিয়-ইনস্টলেশন আচরণকে সম্বোধন করে একটি সর্বজনীন প্রতিক্রিয়া প্রকাশ করেনি। ইস্যুতে অনুমতি ছাড়া তথ্য প্রেরণের অভিযোগ নেই কোম্পানির বিরুদ্ধে; অভিযোগ কেন্দ্র নীরব ইনস্টলেশন এবং হুক স্ব-অনুমোদন.
এআই ডিস্ট্রিবিউশন নিয়মের জন্য একটি টেস্ট কেস
এজেন্ট ইকোসিস্টেমের নিয়ম নিয়ে বৃহত্তর লড়াইয়ের মধ্যে পর্বটি আসে। টুল বিক্রেতাদের এখন প্রতিদ্বন্দ্বিতা করার জন্য একটি নতুন সীমান্ত রয়েছে: শুধু ইনস্টল করা নয়, বরং একজন বিকাশকারী যেভাবে AI-সহায়ক কর্মপ্রবাহ চালায় তাতে লোড হচ্ছে। পোস্টম্যানের পরিস্থিতি সুবিধাজনক একীকরণ এবং প্রতিকূল সম্প্রসারণের মধ্যে লাইনটি কোথায় বসেছে তার একটি পরীক্ষা।
ডেভেলপারদের জন্য, ব্যবহারিক টেকঅওয়ে হল কংক্রিট: ডেস্কটপ টুল আপডেট করার পর এজেন্ট কনফিগারেশন ফাইল, হুক রেজিস্ট্রেশন এবং ইনস্টল করা প্লাগইনগুলিকে অডিট করা মূল্যবান - এবং একটি এআই এজেন্টের নির্দেশাবলীতে যেকোন অপ্রয়োজনীয় পরিবর্তনকে নিরাপত্তা ইভেন্ট হিসাবে বিবেচনা করা। AI-সহায়তা উন্নয়নে ডিফল্ট স্তরে পরিণত হওয়ার জন্য সরঞ্জাম বিক্রেতাদের জন্য, প্রায় 800টি হ্যাকার নিউজ আপভোটের বার্তাটি সমানভাবে স্পষ্ট: নীরব স্ব-ইনস্টলেশন একটি বিশ্বস্ত ব্র্যান্ডকে একটি সতর্কতামূলক গল্পে রূপান্তর করার দ্রুততম উপায়।
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
