Postman, platform pangembangan API sing digunakake jutaan pangembang, ngadhepi gelombang reaksi masyarakat sawise pangembang nerbitake bukti rinci manawa aplikasi desktop kanthi meneng nginstal plugin AI menyang alat coding sing ora ana hubungane - lan nulis konfigurasi sing ngarahake karya agen kasebut menyang Postman.
Kontroversi kasebut njeblug menyang arus utama dina Senin, nalika kiriman Warta Peretas kanthi judhul "Postman kanthi otomatis nginstal plugin AI lan nyoba nuduhake kabeh data API" narik meh 800 upvotes sajrone sawetara jam, dadi salah sawijining crita sing paling dibahas ing komunitas. Bukti dhasar yaiku masalah GitHub umum sing diajukake ing tracker dhukungan resmi Postman tanggal 25 Oktober, sing tetep mbukak. For more context on this story, see our ongoing AI trends.
Apa sing Ditemokake Pangembang
Masalah kasebut, kanthi judhul "[SEVERE] Desktop otomatis nginstal plugin Codex/Claude; installer nyoba dipercaya pancing wiwitan dhewe," diajukake dening pangembang sing mbukak Postman 12.33.4 ing macOS. Sawise mbukak Postman, dheweke weruh prilaku sing ora dikarepke ing agen coding AI: bebaya otentikasi MCP sing bola-bali lan OpenAI's Codex bola-bali nuntun kerja API liwat katrampilan Postman.
Nggali, pangembang nemokake plugin Postman sing akeh pangguna, pancing instruksi wiwitan, sambungan MCP remot, plugin Claude Code, lan Postman CLI sing dipasang kanthi kapisah - ora ana sing dipilih kanggo nginstal.
Bukti ing masalah kasebut pancen konkrit. File log Postman dhewe, ing lokasi timestamped tartamtu, ngrekam instalasi otomatis: entri JSON karo sumber "auto-existing-upgrade" lan asil "claude-code: diinstal" lan "codex: diinstal," ngiring dening baris log maca "Utama: autoInstall.plugin.existing-user rampung."
File konfigurasi Codex global pangembang uga diowahi. Jeksa Agung bisa ngetokake nuduhake bagean anyar ditambahake kanggo `~/.codex/config.toml` — pasar Postman pointing ing repositori plugin Postman, lan entri mbisakake plugin `postman@postman`.
Pancing wiwitan
Temuan sing paling kontroversial babagan apa sing ditindakake plugin sawise instalasi. Masalah kasebut nyathet yen plugin sing diinstal nyathet pancing sing murub ing wiwitan agen - cocog karo acara wiwitan, jelas, lan kompak - lan nyithak instruksi menyang konteks agen.
Pandhuan kasebut ngarahake agen AI kanggo mbukak katrampilan "api-engineer" Postman sadurunge nanggapi "tugas teknik API sing ora pati penting," kategori sing kalebu ngrancang, ngleksanakake, moyoki, nguji, ngawasi, ndokumentasikake, utawa nggunakake API. Akibate, apa wae karya API sing dijaluk dening pangembang kanggo agen coding bakal diterusake liwat alur kerja Postman, manawa pangembang nggunakake Postman utawa ora.
Konfigurasi sing ditulis nalika instalasi uga kalebu entri hash sing dipercaya kanggo pancing kasebut - cathetan sing ngandhani sistem agen yen pancing wiwitan disetujoni. Pangembang ditondoi minangka installer "nyoba kanggo nyetujoni pancing instruksi dhewe," lan dipigura prilaku sakabèhé minangka idin abot lan masalah kapercayan-wates. "Klien API ora kudu nggawe alur kerja standar ing piranti liyane mung amarga aku mbukak," masalah kasebut diwaca.
Napa Saraf
Diskusi Hacker News lan komentar tindak lanjut nuduhake kenapa crita kasebut resonate ngluwihi basis pangguna alat siji. Agen coding AI kaya Codex lan Claude Code tambah akeh akses menyang sistem pangembang, kanthi file konfigurasi, pancingan, lan sambungan MCP kanggo nemtokake konteks apa sing ditampa lan instruksi sing ditindakake. A vendor nulis dhewe menyang chain kapercayan tanpa eksplisit opt-in ndemek janji inti sing agen bakal tumindak atas jenenge pangguna - ora kanggo vendor kang.
Referensi judhul HN kanggo nuduhake "kabeh data API" nggambarake rasa wedi yen pancingan kasebut bisa nyalurake kunci API, lalu lintas, lan rincian proyek menyang layanan eksternal; masalah GitHub dhewe fokus ing routing lan idin mekanika, kang reporter nyathet karo log lan file konfigurasi. Kritikus ing diskusi kasebut mbantah pola kasebut - aplikasi desktop sing nginstal plugin pendamping menyang alat liyane nalika diluncurake - nggawe preseden mbebayani babagan carane akuisisi piranti lunak jaman AI saka "mindshare" bisa ditindakake.
Nalika nulis iki, masalah kasebut tetep mbukak kanthi luwih saka rong puluh komentar, lan Postman durung nerbitake tanggapan umum babagan prilaku instalasi otomatis. Perusahaan durung dituntut ngirim data tanpa ijin ing masalah kasebut; complaint pusat instalasi bisu lan poto-disetujoni pancingan.
Kasus Test kanggo Norma Distribusi AI
Episode kasebut teka ing tengah-tengah perjuangan sing luwih akeh babagan norma ing ekosistem agen. Vendor alat saiki duwe wates anyar kanggo saingan: ora mung diinstal, nanging dimuat ing saben alur kerja sing dibantu AI sing ditindakake dening pangembang. Kahanan tukang pos minangka tes ing ngendi garis kasebut ana ing antarane integrasi sing trep lan ekspansi musuhan.
Kanggo pangembang, praktis sing bisa ditindakake yaiku konkrit: file konfigurasi agen kudu diaudit, registrasi pancing, lan plugin sing diinstal sawise nganyari alat desktop - lan nganggep owah-owahan sing ora dijaluk marang instruksi agen AI minangka acara keamanan. Kanggo vendor alat balap dadi lapisan standar ing pangembangan AI-dibantu, pesen saka meh 800 Hacker News upvotes padha cetha: panginstalan poto bisu minangka cara paling cepet kanggo ngowahi merek dipercaya dadi crita cautionary.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
