Postman Desktop-ը իբր առանց թույլտվության տեղադրել է կոդավորման գործակալների հավելվածներ

GitHub-ում indicava անունով մշակողը հաղորդել է, որ macOS-ում Postman desktop 12.33.4 տարբերակը բացելը առանց բացահայտ թույլտվության հավելվածներ է տեղադրել Claude Code-ի և OpenAI Codex-ի համար։ Հոկտեմբերի 25-ի զեկույցը նաև ասում է, որ Postman-ի տեղադրիչը հաստատել է Codex-ում վստահելի session-start hook, որը գործակալին ասում է օգտագործել Postman գործիքները API մշակման առաջադրանքների համար։ Հրապարակման պահին Postman-ը չէր պատասխանել The New Stack-ի հարցերին։

Ի՞նչ է նկարագրում զեկույցը

Զեկույցի համաձայն՝ GitHub հարցում ներառված Postman հավելվածի մատյանները հոկտեմբերի 24-ին ցույց են տալիս auto-existing-upgrade նշումով տեղադրման իրադարձություն։ Արդյունքները ցույց են տվել, որ երկու կոդավորման գործակալների համար էլ հավելվածները տեղադրվել են։ Մշակողը փոփոխություններ է գտել Codex-ի օգտատիրոջ մակարդակի կազմաձևման ֆայլում՝ ~/.codex/config.toml-ում, այդ թվում՝ միացված Postman հավելված, նոր հավելվածների շուկա և վստահելի session-start hook։ Claude Code-ի կազմաձևումը նույնպես ցույց է տվել տեղադրված Postman հավելված։ Postman CLI կատարվող ֆայլը գտնվել է տեղադրմանը համապատասխան ժամանակային նշաններով։ Մշակողն ասում է, որ այդ փոփոխությունները բացահայտորեն չէր թույլատրել։ Զեկույցը փաստագրում է մեկ macOS տեղադրում և անկախ կերպով չի վերարտադրվել այլ համակարգերում։

Ինչպես է հաստատվել մեկնարկի hook-ը

Postman-ի փաստաթղթերը ասում են, որ տեղադրիչը կարող է ինքնաբերաբար հաստատել session-start hook-ը օգտատիրոջ անունից։ Մշակողները, որոնք հավելվածը ուղղակիորեն տեղադրում են Codex-ի միջոցով, պետք է իրենք վերանայեն և հաստատեն hook-ը։ Տեղադրիչի աղբյուրի կոդը ցույց է տալիս, որ Postman-ը ստուգում է՝ արդյոք Codex-ն արդեն վստահում է hook-ին։ Եթե ոչ, տեղադրիչը օգտագործում է config/batchWrite՝ hook-ի վստահելի հեշը Codex-ի կազմաձևմանը ավելացնելու համար։ Այն ստուգում է, որ hook-ը չի փոխվել նախքան հաստատումը։ Եթե հաստատումը ձախողվում է կամ չի կարող հաստատվել, այն գրանցում է հաղորդագրություն, որը մշակողին ասում է Codex-ում վերանայել hook-ը։ Session-start hook-երը կարող են կոդավորման գործակալներին ինքնաբերաբար հրահանգներ տալ։ Postman-ի մեկնարկի հրահանգները Codex-ին ասում են բեռնել postman:api-engineer հմտությունը նախքան API մշակման առաջադրանքների մեծ մասի մշակումը։ Codex-ը դեռ պետք է նախ հետևի մշակողի հրահանգներին, բայց շատ API առաջադրանքների համար նրան նաև ասվում է լռելյայն օգտագործել Postman-ի գործիքները։

Անվտանգության արձագանքներ և բաց հարցեր

Արդյունքները քննադատություն են առաջացրել GitHub-ում և X-ում մշակողների շրջանում։ Անվտանգության հետազոտող Frank Denis-ը X-ում ինտեգրացիաները աղբ է անվանել և նշել, որ Postman-ի տեղադրիչը փորձում է վստահել իր սեփական մեկնարկի hook-ին։ Siddharth Garimella-ն պնդել է, որ Postman-ի hook-երը որսում են API տվյալները և ուղարկում ընկերությանը, սակայն GitHub զեկույցը որևէ ապացույց չի տալիս, որ Postman-ը հավաքել կամ փոխանցել է API տվյալներ։ Այն փաստագրում է գործակալի կարգավորումների և հեռավոր MCP կապի փոփոխությունները, ոչ թե տվյալների գողությունը։ GitHub մեկնաբանը վարքը անընդունելի է անվանել՝ նույնիսկ կորպորատիվ միջավայրերում ռիսկ ստեղծելով։ Մյուսը Postman-ին կոչ է արել թափանցիկ լինել և թույլտվություն խնդրել։ Մշակողը նաև պարզել է, որ Postman-ը կազմաձևել է կապ իր հեռավոր MCP սերվերին https://mcp.postman.com/mcp հասցեում, բայց Codex-ը բազմիցս չի կարողացել նույնականացվել։ Մշակողը ցանկանում է, որ Postman-ը դադարեցնի հավելվածների տեղադրումը առկա օգտատերերի համար առանց թույլտվության, hook-ի հաստատումը թողնի Codex-ին և տրամադրի փոփոխությունները լիովին հետարկելու միջոց։ Postman-ը տրամադրում է տեղահանման հրաման, սակայն մշակողն ասում է, որ ինտեգրացիայի հեռացումը պետք է նաև մաքրի գործակալի կարգավորումների, վստահելի hook-երի, MCP կապերի և տեղադրված CLI գործիքների փոփոխությունները։ Մշակողները կարող են ստուգել Claude Code-ի և Codex-ի կարգավորումները անծանոթ հավելվածների, hook-երի կամ MCP կապերի համար։ Անպատասխան է մնում, թե ինչու առկա desktop տեղադրումը իբր գործարկել է այդ գործընթացը առանց օգտատիրոջ թույլտվության։

Աղբյուրներ՝ The New Stack