Postman 桌面版悄悄自动安装 Codex 与 Claude 插件，其安装程序还试图批准自己的启动钩子。
Postman 问题追踪上的一份用户报告称，打开 Postman 桌面版 12.33.4 后，系统自动安装了 Codex 与 Claude Code 插件，添加了一个远程 MCP 连接和一个启动钩子——该钩子会把广泛的 API 工作导向 Postman 的技能，而安装程序还试图批准自己的钩子。这份报告基于单台 Mac，尚未在干净机器上复现，且明确不主张存在数据外泄；远程 MCP 连接因未通过认证而失败。这之所以重要，是因为会悄悄改动其他工具配置的智能体工具越过了知情同意的边界，而一个“自己批准自己”的钩子可能在用户从未选择加入的情况下左右智能体的工作。
报道来源
- Hacker News (AI)2026-11-03 17:22