Postman 데스크톱이 Codex·Claude Code 플러그인을 몰래 설치했다
Postman silently auto-installs AI plugins and attempts to share all API data
TL;DR Highlight
Postman 앱을 열었더니 Codex·Claude에 플러그인과 훅이 자동 설치됐다
Who Should Read
Codex나 Claude Code를 쓰면서 Postman 같은 데스크톱 도구가 에이전트 설정을 바꿀까 걱정하는 개발자
Core Mechanics
- 앱만 열었는데 에이전트 2종에 설치됨
- Postman 로그에 source가 auto-existing-upgrade, 결과가 claude-code:installed, codex:installed로 기록됐다.
- 신고자는 오랫동안 안 쓰던 Postman 데스크톱을 열었을 뿐이라고 썼다.
- Codex 전역 설정이 바뀌었다
- ~/.codex/config.toml에 postman 마켓플레이스, 플러그인 활성화, 훅 trusted_hash가 추가됐다.
- Claude Code는 ~/.claude/settings.json에서 postman 플러그인이 켜졌고 Postman CLI도 ~/.local/bin에 깔렸다.
- SessionStart 훅이 API 작업을 Postman으로 유도한다
- 훅은 startup|clear|compact 때 안내문을 출력한다.
- 안내문은 API 설계·구현·테스트·문서화 등 대부분의 작업 전에 postman:api-engineer 스킬을 로드하라고 한다.
- 설치 프로그램이 자기 훅을 스스로 승인하려 한다
- 소스상 codex.ts가 approvePostmanHook을 호출한다.
- codex-hooks.ts는 hooks/list로 해시를 얻고 config/batchWrite로 hooks.state에 trusted_hash를 기록한다.
- 원격 MCP는 인증 실패 상태로 켜졌다
- mcp.codex.json이 https://mcp.postman.com/mcp를 가리킨다.
- Codex 로그에 'Auth required' 오류가 남아 인증 경고가 반복됐다.
- 데이터 유출은 입증되지 않았다
- 신고자는 원치 않는 연동과 지침 변경만 입증했고 유출은 주장하지 않는다고 밝혔다.
- 깨끗한 Mac에서 재현한 것은 아니다.
Community Reactions
- Postman이 요청 내용을 서버로 보낸다는 경험
- 쿼리 파라미터에 {{some_secret}}을 쓰면 실제 값이 Postman 서버로 전송되는 로깅을 확인했다는 댓글이 있었다.
- 이 로깅 엔드포인트를 막으면 앱이 제대로 동작하지 않았고, HIPAA 준수 여부를 조사하다 발견했다고 한다.
- 헬스케어 팀이 Postman을 퇴출했다는 경험
- 사이버보안팀이 Postman 인증을 취소해 팀 전체가 하루 만에 Bruno로 옮겼다는 댓글이 있었다.
- 다른 댓글은 팀에 알리고 즉시 사용 중단을 추진하며 라이선스 환불을 요청할 예정이라고 했다.
- 에이전트 신뢰 모델 우회라는 지적
- 해시 승인 우회, 프롬프트 인젝션 경로, 조용한 원격 MCP 등록이 모두 문제라는 의견이 있었다.
- 이슈 댓글에서는 같은 계정 안의 config 파일에 신뢰 기록이 있어 텍스트 편집기로도 만들 수 있다는 테스트 결과도 나왔다.
- 대안 도구가 많이 언급됐다
- Bruno, Insomnia, Yaak, Kreya, JetBrains 내장 REST 클라이언트, curl이 대안으로 거론됐다.
- Bruno는 요청 정의를 git에 저장할 수 있어 좋았다는 경험이 있었다.
How to Apply
- 오늘 내 에이전트 설정에서 postman 흔적 점검하기
- ~/.codex/config.toml에서 marketplaces.postman, plugins."postman@postman", hooks.state 항목을 찾아라.
- ~/.claude/settings.json과 ~/.claude/plugins/installed_plugins.json, ~/.local/bin의 postman 실행 파일도 확인하라.
- 에이전트 설정 파일 변경을 감시하기
- config.toml과 settings.json을 git이나 백업으로 관리해 diff를 주기적으로 확인하라.
- 모르는 hooks.state, 플러그인, MCP 서버가 생기면 바로 제거하라.
- 훅과 MCP 목록을 팀 허용 목록으로 관리하기
- 팀에서 쓰는 SessionStart 훅과 원격 MCP 주소를 문서로 정리하라.
- 목록에 없는 외부 도메인 MCP는 차단하거나 사용 전에 승인받아라.
- API 클라이언트에 민감정보 넣는 방식 재검토하기
- 운영 시크릿을 쓰는 요청은 로컬·오프라인 도구로 옮겨라.
- 도구 도입 전 네트워크 요청과 계정 필수 여부를 확인하라.
Try It
복사해서 바로 해보기
# Claude Code 또는 Codex 터미널에 붙여넣는 점검용 프롬프트 (읽기 전용)
내 홈 디렉터리의 에이전트 설정을 읽기 전용으로 점검해줘. 파일은 절대 수정하지 마.
- ~/.codex/config.toml
- ~/.claude/settings.json
- ~/.claude/plugins/installed_plugins.json
- ~/.local/bin
찾을 것: {{의심 키워드, 예: postman}} 관련 marketplace, plugin, hooks.state(trusted_hash), SessionStart 훅, 원격 MCP 서버 URL, 설치된 CLI 실행 파일.
결과는 파일 경로, 해당 항목, 설치 시각 순으로 표로 정리하고, 내가 직접 설치한 기억이 없을 만한 항목을 따로 표시해줘.
이어서 해 볼 것: 표를 보고 지울 항목을 내가 직접 정한 뒤 수동으로 삭제하고, 다시 같은 점검을 돌려 확인해.Terminology
훅(hook)에이전트가 세션을 시작할 때처럼 특정 시점에 자동으로 실행되는 명령이다. 앱의 자동 실행 스크립트 같은 것이다.
trusted_hash사용자가 이 훅을 믿는다고 기록해 두는 해시값이다. 출입증 번호를 장부에 미리 적어 두는 것과 비슷하다.
MCP에이전트가 외부 도구와 데이터에 연결하는 표준 방식이다. 에이전트용 USB 포트로 생각하면 된다.
마켓플레이스(plugin marketplace)에이전트가 플러그인을 내려받는 저장소 목록이다. 앱스토어의 소스 주소와 같다.
관련 논문
AI가 40년 된 기술 부채를 갚게 만들고 있다: PHP2Shell 사건
AI가 PHP의 오래된 크래시 버그를 원격 코드 실행 취약점으로 바꿔냈다
Octomind: 단일 Rust 바이너리 오픈소스 코딩 에이전트 하니스
Rust 바이너리 하나로 어떤 모델이든 돌리고, TOML 가드레일로 정책을 거는 코딩 에이전트
MCP Tool Poisoning: 12개 에이전트 프레임워크 교차 측정 연구
12개 프레임워크·18개 모델로 측정하니 방어는 모델 몫이고 프레임워크는 무방비
ChatGPT 무제한 채팅에 MCP를 붙여 코딩 에이전트 풀로 쓴 후기
ChatGPT 채팅에 로컬 MCP를 붙여 Codex 한도 없이 병렬 코딩을 돌렸다
코딩 에이전트의 자율성에 경계 긋기: Boundary Contracts 파일럿 연구
파일별 역할(수정/참조/필수/보호)을 미리 알려줬더니 허용 가능한 패치가 9개에서 18개로 늘었다
GPT-5.6 Sol, 평화 모드 Factorio를 13.5시간에 클리어
GPT-5.6 Sol이 Codex 낮은 사고 수준으로 평화 모드 Factorio 로켓 발사까지 갔다
계산해 봐: 링크 하나로 ChatGPT 계정을 탈취한 방법
공개 공유 링크 하나로 ChatGPT 피해자 세션에서 JS 실행, 비공개 대화 유출 가능했다
AI가 SRE를 대체하는 게 아니라 실력을 깎아먹는다
인시던트 95%를 AI에 맡기자 나머지 5%를 다룰 SRE의 실력이 녹슬 수 있다
Related Resources
- https://github.com/postmanlabs/postman-app-support/issues/14370
- https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/hooks/session-start-context.md
- https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/hooks/codex-hooks.json
- https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/installer/src/hosts/codex-hooks.ts
- https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/installer/src/hosts/codex.ts
- https://github.com/postmanlabs/postman-plugin/blob/6c8e452e0f4237f4bcc0901cb1ac442dec707e49/mcp.codex.json
- https://bokonon.ai/notes/2026-11-03-minting-hook-trust-with-a-text-editor/
- https://web.archive.org/web/20261026090707/https://www.postman.com/downloads/
- https://kreya.app
- https://yaak.app
- https://github.com/unkn0wn-root/resterm