發生什麼事
Postman（API 開發與測試工具）使用者 indicava 於 10 月 25 日在 GitHub（程式碼代管平台）開出 issue（問題回報），指 Mac 上的 Postman Desktop 12.33.4 替 Codex（OpenAI 的 AI 程式代理）與 Claude Code（Anthropic 的 AI 程式代理）裝了外掛，並裝上 Postman CLI（命令列工具）。他貼出的日誌在 10 月 24 日記錄來源 auto-existing-upgrade，結果為 claude-code:installed 與 codex:installed。 github.com 動區動趨 BlockTempo
Codex 全域設定另多了 SessionStart hook（在特定時機自動執行的指令）。官方原文 session-start-context.md 要求代理在處理任何非簡單的 API 工程任務前，先載入 postman:api-engineer 技能，並寫明使用者指示（如 AGENTS.md、CLAUDE.md 這類專案指示檔與直接要求）優先。 官方原文・github.com github.com
官方原文 codex-hooks.ts 顯示，安裝程式的 approvePostmanHook 函式會向 Codex 呼叫 hooks/list 取得該 hook 的雜湊值（依內容算出的校驗碼），再用 config/batchWrite 寫入 trusted_hash；檢查期間雜湊值若變動則略過。函式註解為「Approves only Postman's current hook after installation」，iThome 指出這項功能於 10 月 21 日的程式碼變更加入。 原文 iThome 官方原文・github.com
外掛也設定了指向 mcp.postman.com 的 MCP（讓 AI 代理連接外部服務的協定）連線，Codex 日誌顯示啟動失敗，訊息為 Auth required。 github.com 動區動趨 BlockTempo
誰受影響
受影響的是升級既有桌面版的使用者。ronthedrummer 於 11 月 3 日回報，他從 12.31.3 自動更新到 12.35.1 後同樣裝上 CLI 與兩個代理的外掛，但 Codex 設定檔沒有 hook 核准紀錄，也沒看到 hook 實際執行。 動區動趨 BlockTempo iThome
外掛 README（說明文件）寫明，資料夾經 postman init 連上 Postman 工作區後，CLI 指令結果預設發布到該工作區，可逐次加上 --report-events=false 關閉；經 MCP 伺服器的工具呼叫依設計會送到 Postman。 動區動趨 BlockTempo
限制與未定事項
issue 作者說明這是尚未在乾淨 Mac 上重現的觀察，且信任紀錄本身無法證明是誰寫入。iThome 指出，Postman 承諾改善選擇加入機制並檢視 hook 核准，但尚未公布修正版本與時程。 github.com iThome
各方說法
11 月 4 日台灣時間清晨，帳號 zecoquit 以「我們」口吻代表 Postman 回覆，稱捆綁是因使用者自行安裝串接遇到困難、下載頁與更新流程有提到、app 內可解除安裝。動區指出該帳號未公開列名 postmanlabs 組織成員。 動區動趨 BlockTempo iThome
Hacker News（科技社群討論網站）貼文標題寫「Postman silently auto-installs AI plugins and attempts to share all API data」，但 issue 本文寫明不主張資料外傳，ronthedrummer 也說沒有證據顯示資料被上傳。 github.com 動區動趨 BlockTempo
動區比對 Wayback Machine（網際網路檔案館）10 月 24 日與 26 日的下載頁快照，「The Postman app」段落都沒提到外掛。 原文
各方說法不一致的地方
- 下載頁是否提到外掛：帳號 zecoquit 代表 Postman 稱下載頁與更新流程有提到；動區查到的 Wayback Machine 10 月 24 日與 26 日快照中，「The Postman app」段落都沒有提到外掛，app 更新流程內的提示動區無法檢視。
- 資料分享：Hacker News 貼文標題寫 Postman 嘗試分享所有 API 資料；issue 本文與 ronthedrummer 都寫明未證實資料外傳。
接下來要看的事
- Postman 表示會讓選擇加入的方式更清楚，特別是對既有使用者。
- Postman 表示正在檢討 hook 核准與 session-start 行為，改動上線後會在 GitHub 串內更新。
- iThome 指出修正版本與時程目前尚未公布。
