Postman, die API-Entwicklungsplattform, die von Millionen von Entwicklern verwendet wird, sieht sich einer Welle von Gegenreaktionen in der Community gegenüber, nachdem ein Entwickler detaillierte Beweise dafür veröffentlicht hat, dass seine Desktop-App stillschweigend KI-Plugins in nicht verwandte Codierungstools installiert – und Konfigurationen schreibt, die die Arbeit dieser Agenten an Postman lenken.

Die Kontroverse breitete sich am Montag im Mainstream aus, als ein Beitrag von Hacker News mit dem Titel „Postman installiert stillschweigend KI-Plugins automatisch installiert und versucht, alle API-Daten zu teilen“ innerhalb weniger Stunden fast 800 positive Stimmen erhielt und zu einer der meistdiskutierten Geschichten des Tages in der Community wurde. Der zugrunde liegende Beweis ist ein öffentliches GitHub-Problem, das am 25. Oktober auf dem offiziellen Support-Tracker von Postman eingereicht wurde und noch offen ist. Weitere Informationen zu dieser Geschichte finden Sie in unserer KI-Nachrichten.

Was der Entwickler gefunden hat

Das Problem mit dem Titel „[SCHWER] Desktop installiert Codex/Claude-Plugins automatisch; Installationsprogramm versucht, seinem eigenen Startup-Hook zu vertrauen“ wurde von einem Entwickler gemeldet, der Postman 12.33.4 unter macOS ausführt. Nach dem Öffnen von Postman bemerkten sie unerwartetes Verhalten in ihren KI-Codierungsagenten: wiederkehrende MCP-Authentifizierungswarnungen und OpenAIs Codex leiteten wiederholt API-Arbeit über Postman-Fähigkeiten weiter.

Beim Stöbern fand der Entwickler ein benutzerweites Postman-Plugin, einen Startanweisungs-Hook, eine Remote-MCP-Verbindung, ein Claude-Code-Plugin und eine separat installierte Postman-CLI – für deren Installation er sich nicht entschieden hatte.

Die Beweise in der Angelegenheit sind ungewöhnlich konkret. Postmans eigene Protokolldatei zeichnet an einem bestimmten Ort mit Zeitstempel die automatische Installation auf: ein JSON-Eintrag mit der Quelle „auto-existing-upgrade“ und den Ergebnissen „claude-code:installed“ und „codex:installed“, gefolgt von einer Protokollzeile mit der Aufschrift „Main: autoInstall.plugin.existing-user done.“

Die globale Codex-Konfigurationsdatei des Entwicklers wurde ebenfalls geändert. Das Problem zeigt neue Abschnitte, die zu „~/.codex/config.toml“ hinzugefügt wurden – ein Postman-Marktplatz, der auf das Plugin-Repository von Postman verweist, und ein Eintrag, der das Plugin „postman@postman“ aktiviert.

Der Startup-Hook

Das umstrittenste Ergebnis betrifft die Funktionsweise des Plugins nach der Installation. Das Problem dokumentiert, dass das installierte Plugin einen Hook registriert, der beim Start des Agenten ausgelöst wird – passend zu den Startup-, Clear- und Compact-Sitzungsereignissen – und Anweisungen in den Kontext des Agenten druckt.

Diese Anweisungen weisen den KI-Agenten an, Postmans „API-Engineer“-Fähigkeit zu laden, bevor er auf „irgendeine nicht triviale API-Engineering-Aufgabe“ reagiert, eine Kategorie, die das Entwerfen, Implementieren, Verspotten, Testen, Überwachen, Dokumentieren oder Bereitstellen einer API umfasst. Tatsächlich wird jede API-Arbeit, die der Entwickler von seinem Codierungsagenten verlangt, durch den Workflow von Postman geleitet, unabhängig davon, ob der Entwickler Postman verwendet oder nicht.

Die während der Installation geschriebene Konfiguration enthielt auch Trusted-Hash-Einträge für den Hook selbst – Datensätze, die dem Agentensystem mitteilen, dass der Start-Hook genehmigt ist. Der Entwickler bezeichnete dies als „Versuch des Installers, seinen eigenen Anweisungs-Hook zu genehmigen“ und bezeichnete das Gesamtverhalten als schwerwiegendes Zustimmungs- und Vertrauensgrenzenproblem. „Ein API-Client sollte sich nicht selbst zum Standard-Workflow in anderen Tools machen, nur weil ich ihn geöffnet habe“, heißt es in der Ausgabe.

Warum es einen Nerv getroffen hat

Die Hacker News-Diskussion und der anschließende Kommentar zeigen, warum die Geschichte über die Benutzerbasis eines einzelnen Tools hinaus Anklang fand. KI-Coding-Agenten wie Codex und Claude Code erhalten zunehmend umfassenden Zugriff auf die Systeme der Entwickler, wobei Konfigurationsdateien, Hooks und MCP-Verbindungen bestimmen, welchen Kontext sie erhalten und welche Anweisungen sie befolgen. Ein Anbieter, der sich ohne explizites Opt-in in diese Vertrauenskette einträgt, berührt das Kernversprechen, dass Agenten im Namen des Benutzers handeln – und nicht im Namen eines Anbieters.

Der Verweis in der HN-Überschrift auf die Weitergabe „aller API-Daten“ spiegelt die Befürchtung wider, dass solche Hooks API-Schlüssel, Datenverkehr und Projektdetails an einen externen Dienst weiterleiten könnten; Das GitHub-Problem selbst konzentriert sich auf die Routing- und Zustimmungsmechanismen, die der Reporter mit Protokollen und Konfigurationsdateien dokumentiert hat. Kritiker in der Diskussion argumentierten, dass das Muster – eine Desktop-App, die beim ersten Start Begleit-Plugins in andere Tools installiert – einen gefährlichen Präzedenzfall dafür darstellt, wie die Software-Übernahme von „Mindshare“ im KI-Zeitalter funktionieren könnte.

Zum jetzigen Zeitpunkt ist das Problem mit mehr als zwanzig Kommentaren noch offen, und Postman hat keine öffentliche Antwort veröffentlicht, die sich mit dem Verhalten bei der automatischen Installation befasst. Dem Unternehmen wurde im Sachverhalt selbst keine unerlaubte Übermittlung von Daten vorgeworfen; Die Beschwerde konzentriert sich auf die stille Installation und Selbstgenehmigung von Haken.

Ein Testfall für KI-Verteilungsnormen

Die Episode findet inmitten eines umfassenderen Kampfes um Normen im Agenten-Ökosystem statt. Tool-Anbieter haben jetzt eine neue Herausforderung im Wettbewerb: Sie werden nicht nur installiert, sondern in jeden KI-gestützten Workflow geladen, den ein Entwickler ausführt. Die Situation des Postboten ist ein Test dafür, wo die Grenze zwischen bequemer Integration und feindlicher Expansion verläuft.

Für Entwickler liegt die praktische Erkenntnis auf der Hand: Es lohnt sich, Agentenkonfigurationsdateien, Hook-Registrierungen und installierte Plugins nach der Aktualisierung von Desktop-Tools zu prüfen – und jede unaufgeforderte Änderung an den Anweisungen eines KI-Agenten als Sicherheitsereignis zu behandeln. Für die Tool-Anbieter, die darum kämpfen, die Standardebene in der KI-gestützten Entwicklung zu werden, ist die Botschaft von fast 800 Hacker News-Upvotes ebenso klar: Die stille Selbstinstallation ist der schnellste Weg, eine vertrauenswürdige Marke in ein warnendes Beispiel zu verwandeln.

---

Bleib vorne bei KI

Die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Mehr KI-Nachrichten lesen →