Postman 是数百万开发人员使用的 API 开发平台，在一名开发人员发布了详细证据，证明其桌面应用程序悄悄地将 AI 插件安装到不相关的编码工具中，并编写引导这些代理的工作转向 Postman 的配置后，该平台正面临一波社区强烈反对。

周一，这场争议爆发为主流，《黑客新闻》一篇题为“邮递员默默地自动安装 AI 插件并试图共享所有 API 数据”的帖子在数小时内获得了近 800 个点赞，成为当天社区讨论最多的故事之一。根本证据是 10 月 25 日在 Postman 官方支持跟踪器上提交的公开 GitHub 问题，该问题仍然处于开放状态。 更多相关背景，请参阅我们的人工智能资讯。

开发人员发现了什么

该问题的标题为“[严重]桌面自动安装 Codex/Claude 插件；安装程序尝试信任其自己的启动挂钩”，由在 macOS 上运行 Postman 12.33.4 的开发人员提交。打开 Postman 后，他们注意到 AI 编码代理出现意外行为：反复出现 MCP 身份验证警告，以及 OpenAI 的 Codex 通过 Postman 技能反复路由 API 工作。

深入挖掘后，开发人员发现了一个用户范围的 Postman 插件、一个启动指令挂钩、一个远程 MCP 连接、一个 Claude Code 插件和一个单独安装的 Postman CLI——他们都没有选择安装这些插件。

该问题的证据异常具体。 Postman 自己的日志文件在特定的时间戳位置记录了自动安装：一个 JSON 条目，其中包含源“auto-existing-upgrade”和结果“claude-code:installed”和“codex:installed”，后跟一条日志行“Main: autoInstall.plugin.existing-user finish”。

开发者的全局Codex配置文件也被修改。该问题显示了“~/.codex/config.toml”中添加的新部分——指向 Postman 插件存储库的 Postman 市场，以及启用“postman@postman”插件的条目。

启动钩子

最有争议的发现涉及插件安装后的作用。该问题记录了安装的插件注册了一个在代理启动时触发的钩子 - 匹配启动、清除和紧凑会话事件 - 并将指令打印到代理的上下文中。

这些指令指示 AI 代理在响应“任何重要的 API 工程任务”之前加载 Postman 的“api 工程师”技能，该任务包括设计、实现、模拟、测试、监控、记录或部署 API。实际上，开发人员要求其编码代理执行的任何 API 工作都将通过 Postman 的工作流程进行路由，无论开发人员是否使用 Postman。

安装期间编写的配置还包括挂钩本身的可信哈希条目 - 告诉代理系统启动挂钩已批准的记录。开发人员将此描述为安装程序“试图批准自己的指令挂钩”，并将整体行为定义为严重的同意和信任边界问题。该问题写道：“API 客户端不应仅仅因为我打开了它，就使其成为其他工具中的默认工作流程。”

为什么它会让人紧张

《黑客新闻》的讨论和后续评论说明了为什么这个故事能引起超出单一工具用户群的共鸣。 Codex 和 Claude Code 等 AI 编码代理越来越多地被授予对开发人员系统的广泛访问权限，配置文件、挂钩和 MCP 连接决定它们接收的上下文以及遵循的指令。供应商在没有明确选择的情况下将自己写入信任链，这触及了代理将代表用户而不是供应商行事的核心承诺。

HN 标题提到共享“所有 API 数据”，反映出人们担心此类挂钩可能会将 API 密钥、流量和项目详细信息传输到外部服务； GitHub 问题本身侧重于路由和同意机制，记者用日志和配置文件记录了这些机制。讨论中的批评者认为，这种模式——桌面应用程序在首次启动时将配套插件安装到其他工具中——为人工智能时代软件收购“思维份额”的运作方式开了一个危险的先例。

截至撰写本文时，该问题仍然悬而未决，已有 20 多条评论，并且 Postman 尚未针对自动安装行为发表公开回应。该公司并未因问题本身而被指控未经许可传输数据；投诉的重点是挂钩的静默安装和自我批准。

AI 分布规范的测试用例

这一事件发生在针对代理生态系统规范的更广泛斗争之际。工具供应商现在有了一个新的竞争领域：不仅仅是安装，而是加载到开发人员运行的每个人工智能辅助工作流程中。 Postman 的处境是对便利集成与敌意扩张之间界限的考验。

对于开发人员来说，实际的收获是具体的：在更新桌面工具后，值得审核代理配置文件、挂钩注册和安装的插件，并将对人工智能代理指令的任何未经请求的更改视为安全事件。对于那些竞相成为人工智能辅助开发默认层的工具供应商来说，来自 Hacker News 近 800 条投票的信息同样明确：静默自行安装是将值得信赖的品牌转变为警示故事的最快方式。

---

掌握AI最新动态

获取最新的AI新闻、分析和突破——尽在一处。

阅读更多AI新闻 →