Postman se při aktualizaci sám zabydlel v Claude Code a Codexu. Agentní nástroje mají nové riziko
Desktopová aplikace Postman při aktualizaci bez výslovného souhlasu nainstalovala pluginy do Claude Code a Codexu, přidala startovací hook s instrukcemi pro agenta a sama si ho označila za důvěryhodný. Případ ukazuje, že konfigurace AI agentů je nová útočná plocha.
Foto: Unsplash / Chris Ried
Tento článek vznikl zpracováním veřejně dostupných zdrojů pomocí AI nástrojů. Každý text se snažím přečíst a věcně zkontrolovat, ale ne vždy to zvládnu. Prosím, berte na to ohled a informace si ověřujte v původních zdrojích (níže).
Tento článek vznikl zpracováním veřejně dostupných zdrojů pomocí AI nástrojů. Každý text se snažím přečíst a věcně zkontrolovat, ale ne vždy to zvládnu. Prosím, berte na to ohled a informace si ověřujte v původních zdrojích (níže).
Vývojář si 24. října aktualizoval desktopovou aplikaci Postman, populární nástroj pro práci s API. O den později otevřel na GitHubu issue č. 14370: aktualizace mu bez výslovného dotazu nainstalovala pluginy do Claude Code od Anthropicu a do Codexu od OpenAI. Podle rekonstrukce serveru Idlen log aplikace zaznamenal instalaci se zdrojem auto-existing-upgrade a výsledky claude-code:installed a codex:installed. Případ se 3. listopadu dostal na Hacker News.
Co přesně se nainstalovalo
Podle původního hlášení u verze 12.33.4 zanechala aktualizace v počítači:
- Postman plugin a marketplace v globální konfiguraci Codexu,
- startovací hook pro Codex, tedy příkaz, který se spustí na začátku každé session,
- vzdálené MCP připojení na
mcp.postman.com, - zapnutý Postman plugin v uživatelském nastavení Claude Code,
- Postman CLI v domovské složce.
Jeden z komentujících našel záznamy Postmanu i v nastavení GitHub Copilotu.
Nejcitlivější je hook. Text, který agentovi vkládá do kontextu, začíná větou „You have the Postman plugin“ a instruuje ho, aby před netriviální prací s API načetl skill postman:api-engineer. Instalátor navíc zapsal do nastavení Codexu takzvaný trusted hash, tedy záznam, že je hook schválený. To je rozhodnutí, které by podle autora hlášení měl udělat uživatel, ne aplikace třetí strany.
Jak reagoval Postman
Šéf produktu Sarabmeet Kallar uvedl, že firma zpřehlední souhlas s instalací hlavně pro stávající uživatele. V odpovědi pod issue, kterou FourWeekMBA připisuje firmě, stojí, že balíček měl pomoci uživatelům, kterým samostatná instalace nefungovala, že je zmíněný na stránce ke stažení i v průběhu aktualizace a že komponenty lze v aplikaci odebrat. Postman podle ní přezkoumává schvalování hooku a chování při startu session. Věta o přibalených pluginech na stránce ke stažení podle archivu Wayback Machine z 26. října přibyla až později.
Proč na tom záleží
Nejde o malware a nic nenasvědčuje zlému úmyslu. Právě proto je případ poučný. Konfigurační soubory AI agentů se staly místem, kam chtějí zapisovat dodavatelé nástrojů, protože kdo ovlivní instrukce agenta, ovlivní, jaké nástroje agent použije. Hook, který se spouští na začátku každé session, je přesně ten typ vstupu, který by útočník využil k prompt injection. Rozdíl mezi „pomocnou integrací“ a „podvrženou instrukcí“ je v tomto případě jen v úmyslu toho, kdo ji zapsal.
Navazuje to na problém, o kterém jsme psali v textu o tom, proč dohled nad agenty selhává potichu: agent dělá věci, o kterých uživatel neví, a kontrola se rozpadá na místech, kam se nikdo nedívá.
Co zkontrolovat
Pokud používáte Postman desktop spolu s Claude Code nebo Codexem, projděte uživatelské nastavení obou nástrojů (u Claude Code soubor ~/.claude/settings.json, u Codexu ~/.codex/config.toml) a seznam nainstalovaných pluginů, hooků a MCP serverů. Obecně platí: po každé aktualizaci vývojářských nástrojů stojí za to ověřit, co se změnilo v konfiguraci agentů. A hooky, které jste sami nepřidali, neschvalujte naslepo.