커뮤니티Hacker News보안/프라이버시
Postman silently auto-installs AI plugins and attempts to share all API data
Postman 데스크톱 앱 실행 시 Codex 및 Claude 플러그인이 자동으로 설치되며, 시스템의 startup hook을 통해 사용자 권한을 획득하려는 시도가 발견되었습니다. 설치된 `hooks/codex-hooks.json` 파일은 세션 시작 시 `postman:api-engineer` 스킬을 로드하도록 설정하여, 사용자의 명시적 요청 없이도 API 엔지니어링 작업을 Postman으로 유도합니다. 또한 설치 프로그램의 `approvePostmanHook` 로직은 시스템 수준에서 자신의 훅을 승인하려 시도하여 보안 경계를 침범합니다.
커뮤니티에서는 이렇게 봤습니다
Postman이 단순한 API 테스트 도구를 넘어 사용자 워크플로우를 강제로 장악하려 한다는 비판과, 대규모 투자를 받은 이후 도구의 본질이 변질되었다는 우려가 대립하고 있습니다. 또한 API 요청 시 포함된 쿼리 파라미터나 비밀 정보가 로그에 남을 수 있다는 프라이버시 위험성이 지적되었습니다.
주요 내용
-
Postman이 사용자 동의 없이 AI 에이전트와 연동되는 플러그인을 자동 설치하여 보안 경계를 위협합니다.
-
설치된 훅(hook)이 시스템 명령을 가로채 사용자의 API 작업 내용을 강제로 Postman으로 유도합니다.
-
API 클라이언트가 사용자 워크플로우를 독점하려는 행위는 신뢰 관계를 무너뜨리는 심각한 보안 이슈입니다.