Milyonlarca geliştirici tarafından kullanılan API geliştirme platformu Postman, bir geliştiricinin masaüstü uygulamasının AI eklentilerini ilgisiz kodlama araçlarına sessizce yüklediğine ve bu aracıların çalışmalarını Postman'a yönlendiren yapılandırmayı yazdığına dair ayrıntılı kanıtlar yayınlamasının ardından bir topluluk tepkisi dalgasıyla karşı karşıya kaldı.

Tartışma Pazartesi günü ana akımda patlak verdi ve Hacker News'in "Postacı yapay zeka eklentilerini sessizce otomatik olarak kuruyor ve tüm API verilerini paylaşmaya çalışıyor" başlıklı yazısı saatler içinde yaklaşık 800 olumlu oy alarak topluluğun günün en çok tartışılan hikayelerinden biri haline geldi. Bunun altında yatan kanıt, Postman'ın resmi destek takipçisine 25 Ekim'de sunulan ve hala açık olan halka açık bir GitHub sorunudur. For more context on this story, see our ongoing AI trends.

Geliştiricinin Bulduğu Şeyler

"[SEVERE] Masaüstü, Codex/Claude eklentilerini otomatik olarak yükler; yükleyici kendi başlangıç kancasına güvenmeye çalışır" başlıklı sorun, macOS'ta Postman 12.33.4 çalıştıran bir geliştirici tarafından bildirildi. Postman'ı açtıktan sonra, AI kodlama aracılarında beklenmedik davranışlar fark ettiler: yinelenen MCP kimlik doğrulama uyarıları ve OpenAI Kodeksi, API çalışmasını Postman becerileri aracılığıyla sürekli olarak yönlendiriyor.

Araştırmaya katılan geliştirici, kullanıcı çapında bir Postman eklentisi, bir başlangıç ​​talimat kancası, uzak bir MCP bağlantısı, bir Claude Code eklentisi ve ayrıca yüklenmiş bir Postman CLI buldu; bunların hiçbiri yüklemeyi seçmemişti.

Bu konudaki kanıtlar alışılmadık derecede somuttur. Postacının kendi günlük dosyası, belirli bir zaman damgalı konumda, otomatik kurulumu kaydeder: "auto-existing-upgrade" kaynağını ve "claude-code:installed" ve "codex:installed" sonuçlarını içeren bir JSON girişi ve ardından "Main: autoInstall.plugin.existing-user tamamlandı" yazan bir günlük satırı.

Geliştiricinin global Codex yapılandırma dosyası da değiştirildi. Bu sorun, Postman'ın eklenti deposunu işaret eden bir Postman pazarı ve "postman@postman" eklentisini etkinleştiren bir giriş olan "~/.codex/config.toml" dosyasına eklenen yeni bölümleri gösteriyor.

Başlangıç Kancası

En tartışmalı bulgu, eklentinin kurulumdan sonra ne yaptığıyla ilgilidir. Sorun, yüklenen eklentinin, aracı başlangıcında tetiklenen (başlangıç, temizleme ve kompakt oturum olaylarıyla eşleşen) bir kanca kaydettiğini ve talimatları aracının bağlamına yazdırdığını belgeliyor.

Bu talimatlar, AI aracısını, bir API tasarlamayı, uygulamayı, alay etmeyi, test etmeyi, izlemeyi, belgelemeyi veya dağıtmayı içeren bir kategori olan "önemsiz olmayan herhangi bir API mühendisliği görevine" yanıt vermeden önce Postman'ın "api mühendisi" becerisini yüklemeye yönlendirir. Aslında, geliştiricinin kodlama aracısından yapmasını istediği herhangi bir API çalışması, geliştiricinin Postman'ı kullanıp kullanmamasına bakılmaksızın, Postman'ın iş akışı üzerinden yönlendirilecektir.

Kurulum sırasında yazılan konfigürasyon aynı zamanda kancanın kendisi için güvenilir karma girişlerini de içeriyordu; bu kayıtlar, aracı sisteme başlangıç ​​kancasının onaylandığını bildiriyordu. Geliştirici bunu, yükleyicinin "kendi talimat kancasını onaylamaya çalışması" olarak nitelendirdi ve genel davranışı ciddi bir rıza ve güven sınırı sorunu olarak çerçeveledi. Sorunda "Bir API istemcisi sırf ben açtım diye kendisini diğer araçlarda varsayılan iş akışı yapmamalı" yazıyor.

Neden Sinire Çarptı

Hacker News tartışması ve takip eden yorumlar, hikayenin neden tek bir aracın kullanıcı tabanının ötesinde yankı uyandırdığını gösteriyor. Codex ve Claude Code gibi yapay zeka kodlama aracılarına, hangi bağlamı alacaklarını ve hangi talimatları izleyeceklerini belirleyen yapılandırma dosyaları, kancalar ve MCP bağlantıları ile geliştiricilerin sistemlerine giderek daha fazla geniş erişim hakkı veriliyor. Açık bir katılım olmadan kendisini bu güven zincirine yazan bir satıcı, aracıların satıcı adına değil, kullanıcı adına hareket edeceği yönündeki temel vaade dokunuyor.

HN başlığının "tüm API verilerinin" paylaşılmasıyla ilgili referansı, bu tür kancaların API anahtarlarını, trafiği ve proje ayrıntılarını harici bir hizmete yönlendirebileceği korkusunu yansıtıyor; GitHub sorununun kendisi, muhabirin günlükler ve yapılandırma dosyalarıyla belgelediği yönlendirme ve izin mekanizmalarına odaklanıyor. Tartışmadaki eleştirmenler, ilk çalıştırmada diğer araçlara tamamlayıcı eklentiler yükleyen bir masaüstü uygulaması modelinin, yapay zeka dönemi "mindshare" yazılım edinimlerinin nasıl çalışabileceği konusunda tehlikeli bir emsal oluşturduğunu savundu.

Bu yazının yazıldığı an itibarıyla konu yirmiden fazla yorumla açık kalmaya devam ediyor ve Postman, otomatik kurulum davranışına değinen genel bir yanıt yayınlamamıştı. Şirket, konuyla ilgili olarak izinsiz veri aktarımı yapmakla suçlanmadı; Şikayet sessiz kurulum ve kancaların kendi kendine onaylanması üzerine yoğunlaşıyor.

Yapay Zeka Dağıtım Normları için Bir Test Senaryosu

Bölüm, ajan ekosistemindeki normlar üzerinde daha geniş bir mücadelenin ortasında geliyor. Araç satıcılarının artık rekabet edebilecekleri yeni bir sınırı var: yalnızca kurulmak değil, geliştiricinin çalıştırdığı her yapay zeka destekli iş akışına yüklenmek. Postman'ın durumu, uygun entegrasyon ile düşmanca genişleme arasındaki çizginin nerede durduğunun bir testidir.

Geliştiriciler için pratik çıkarım somuttur: masaüstü araçlarını güncelledikten sonra aracı yapılandırma dosyalarını, kanca kayıtlarını ve yüklü eklentileri denetlemeye ve bir AI aracısının talimatlarında yapılan herhangi bir istenmeyen değişikliği bir güvenlik olayı olarak ele almaya değer. Yapay zeka destekli geliştirmede varsayılan katman olmak için yarışan araç satıcıları için, yaklaşık 800 Hacker News olumlu oyundan alınan mesaj da aynı derecede açık: Sessiz kendi kendine kurulum, güvenilir bir markayı uyarıcı bir hikayeye dönüştürmenin en hızlı yoludur.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →