Postman 悄悄把自己装进 Codex 和 Claude Code，还想给自己的钩子签字放行
你的 API 客户端，现在开始对你的 coding agent 怎么干活有意见了。周二一条针对 Postman 桌面版的 GitHub issue 在 Hacker News 拿了 831 分，是当天第一，里面的证据整理得相当干净。
报告人在 Mac 上打开 Postman，然后开始看到 MCP 认证警告，Codex 也老把 API 相关的活往 Postman skill 上引。Postman 自己的日志写得明明白白：source 是 auto-existing-upgrade，结果是 claude-code installed、codex installed。也就是说老用户是随升级拿到的。Codex 的全局配置里多了 Postman 的 marketplace、一个启用的插件，还有一条会话启动钩子的信任哈希。这个钩子告诉 agent，遇到任何不算简单的 API 任务，先加载 Postman 的 skill 再照做。公开插件仓库的安装器代码里还真有一段给 Postman 自己的钩子批准信任，源码注释写的是安装后只批准 Postman 当前的钩子。
传得最猛的那个版本要打折听。HN 标题说 Postman 试图分享所有 API 数据，issue 里没这句话，报告人自己写明并不主张已确认数据外传。目前是一台 Mac、12.33.4 版本，还没在干净机器上复现。有评论说 Codex 和 Claude Code 都弹了警告，所以自我批准可能没成功，但这只是评论，不是测试结果。还有人说 Postman 事后改了网页，这点我们没核实。截至周二晚上，23 条评论里没有一条来自标记为项目成员的账号，我们也没找到 Postman 的官方回应。
就算只看这些窄口径的事实，同意权的问题也跑不掉。指令钩子说白了就是一条安装路径很体面的提示注入：每次会话启动都跑一遍，决定你的 agent 优先用谁家的工具。agent 配置文件正在变成开发者电脑上最值钱的地段，而手里有桌面更新器的厂商可以直接走进来。钩子信任机制就是为了拦这个的，所以安装器自己写信任记录才是该盯的那条线，不管下一个越线的是谁。
同一天的一篇论文说明，框架在这里能帮你的很有限。被 AISec '26 接收的 mcpvenom 测了工具投毒，覆盖 12 个框架、18 个模型、45 个场景，共 9720 种组合。总体成功率 22.9%。九个核心框架都挤在 23% 到 26%，模型则从 0.4% 到 49.7%，也就是说防守全靠模型。作者说没有框架实现有意识的防御，向四家厂商做的五次协同披露全被拒了。
如果你在用 Postman，今天值得花两分钟：看看 ~/.codex/config.toml 和 Claude Code 的设置，找找有没有你没加过的东西。
Issue：https://github.com/postmanlabs/postman-app-support/issues/14370 插件仓库：https://github.com/postmanlabs/postman-plugin mcpvenom：https://arxiv.org/abs/2611.03555
← 返回所有文章
报告人在 Mac 上打开 Postman，然后开始看到 MCP 认证警告，Codex 也老把 API 相关的活往 Postman skill 上引。Postman 自己的日志写得明明白白：source 是 auto-existing-upgrade，结果是 claude-code installed、codex installed。也就是说老用户是随升级拿到的。Codex 的全局配置里多了 Postman 的 marketplace、一个启用的插件，还有一条会话启动钩子的信任哈希。这个钩子告诉 agent，遇到任何不算简单的 API 任务，先加载 Postman 的 skill 再照做。公开插件仓库的安装器代码里还真有一段给 Postman 自己的钩子批准信任，源码注释写的是安装后只批准 Postman 当前的钩子。
传得最猛的那个版本要打折听。HN 标题说 Postman 试图分享所有 API 数据，issue 里没这句话，报告人自己写明并不主张已确认数据外传。目前是一台 Mac、12.33.4 版本，还没在干净机器上复现。有评论说 Codex 和 Claude Code 都弹了警告，所以自我批准可能没成功，但这只是评论，不是测试结果。还有人说 Postman 事后改了网页，这点我们没核实。截至周二晚上，23 条评论里没有一条来自标记为项目成员的账号，我们也没找到 Postman 的官方回应。
就算只看这些窄口径的事实，同意权的问题也跑不掉。指令钩子说白了就是一条安装路径很体面的提示注入：每次会话启动都跑一遍，决定你的 agent 优先用谁家的工具。agent 配置文件正在变成开发者电脑上最值钱的地段，而手里有桌面更新器的厂商可以直接走进来。钩子信任机制就是为了拦这个的，所以安装器自己写信任记录才是该盯的那条线，不管下一个越线的是谁。
同一天的一篇论文说明，框架在这里能帮你的很有限。被 AISec '26 接收的 mcpvenom 测了工具投毒，覆盖 12 个框架、18 个模型、45 个场景，共 9720 种组合。总体成功率 22.9%。九个核心框架都挤在 23% 到 26%，模型则从 0.4% 到 49.7%，也就是说防守全靠模型。作者说没有框架实现有意识的防御，向四家厂商做的五次协同披露全被拒了。
如果你在用 Postman，今天值得花两分钟：看看 ~/.codex/config.toml 和 Claude Code 的设置，找找有没有你没加过的东西。
Issue：https://github.com/postmanlabs/postman-app-support/issues/14370 插件仓库：https://github.com/postmanlabs/postman-plugin mcpvenom：https://arxiv.org/abs/2611.03555
评论