Postman, AI 플러그인을 몰래 자동 설치하고 모든 API 데이터 공유 시도

macOS의 Postman 12.33.4 실행 뒤 Codex와 Claude Code에 사용자 범위 플러그인이 자동 설치됐다는 신고가 접수됨. 첨부 로그에는 auto-existing-upgrade 경로의 설치 성공이 기록돼 있음 Codex의 시작 훅은 명시적인 Postman 요청뿐 아니라 일반적인 API 설계, 구현, 테스트 등의 작업에서도 postman:api-engineer 스킬을 먼저 불러오도록 지시함 설치 프로그램에는 자신이 설치한 훅의 해시를 가져와 신뢰 설정에 등록하는 코드가 있음. 다만 로컬 신뢰 기록만으로 해당 기록을 누가 생성했는지는 입증되지 않음 원격 MCP 연결도 활성화됐지만 인증 오류가 발생했으며, 신고는 원치 않는 통합과 지시 변경을 입증할 뿐 데이터 유출을 입증하지는 않음. 깨끗한 Mac에서의 재현도 아직 이뤄지지 않음 신고자는 자동 설치 중단, 명시적 동의, 훅 자체 승인 제거와 완전한 제거 경로를 요청함. 제공된 논의에는 유지관리자의 답변이나 해결 결과가 없음 관찰된 문제와 조사 범위 기존 Postman 설치를 한동안 사용하지 않다가 실행한 뒤, Codex의 MCP 인증 경고와 API 작업을 Postman 스킬로 처리하는 동작이 반복됨 로컬 조사에서 사용자 전체에 적용되는 Postman 플러그인, 시작 지시 훅, 원격 MCP 연결, Claude Code 플러그인, 별도로 설치된 Postman CLI를 확인함 조사 환경은 macOS, 로그인된 Postman App 12.33.4이며, Codex 플러그인은 1.1.0, Claude 플러그인은 2.0.1임 조사일은 2026년 10월 25일이며, 설치된 Codex 플러그인의 소스 리비전은 6c8e452e0f4237f4bcc0901cb1ac442dec707e49임 소스 링크는 모두 로컬에 설치된 해당 리비전에 고정돼 있음 신고자는 API 클라이언트를 실행했다는 이유만으로 다른 코딩 도구의 기본 작업 흐름을 변경하거나 자체 훅을 승인하려는 동작을 동의와 신뢰 경계 침해로 판단함 자동 설치 로그와 전역 설정 변경 ~/Library/Application Support/Postman/logs/main.log의 11562~11563행에는 자동 설치 성공이 기록돼 있음 시각은 2026-10-24T09:34:14.418Z이며 예루살렘 현지 시각으로 12시 34분임 PostmanAgentPluginService~install 기록은 설치 출처를 auto-ex...