API開發工具Postman未經同意自動安裝AI外掛，擅代用戶核准Codex Hook惹議

API開發工具Postman遭使用者指出，桌面版會在未經明確同意的情況下，自動替Codex與Claude Code安裝外掛，其中Codex外掛安裝程式還會嘗試代替使用者核准啟動Hook，使Postman的指令能在Codex啟動工作階段時自動載入，引發授權機制疑慮。Postman官方回應，將檢討外掛安裝的同意機制與Hook核准流程。

爭議始於10月25日的GitHub問題回報，一名macOS使用者開啟Postman後，發現Codex出現Postman遠端MCP伺服器驗證失敗的訊息。檢查執行日誌後，發現Postman 12.33.4曾在10月24日自動安裝Codex與Claude Code外掛，以及Postman命令列工具。Codex設定檔也出現Postman外掛及Hook信任紀錄，外掛另附有Postman遠端MCP伺服器的連線設定。

Hook是開發工具在特定時機自動執行命令或載入指令的機制。Postman外掛的工作階段啟動Hook須經Codex使用者核准，才能在工作階段啟動時執行，載入Postman的指令文件。該文件要求AI代理在處理較複雜的API開發工作前，先載入Postman的API工程技能，協助完成API設計、實作、測試及部署等工作。

然而，使用者卻發現Postman安裝程式加入了代為核准Codex啟動Hook的功能。安裝程式會查詢Hook的信任狀態及雜湊值，確認檢查期間沒有變更後，嘗試將信任紀錄寫入Codex設定，取代原本由使用者進行的核准程序。該功能於10月21日的程式碼變更加入。

另一名使用者隨後提供Postman 12.35.1的執行日誌，同樣顯示桌面版更新時也自動安裝了Codex與Claude Code外掛，但Codex設定檔中沒有Hook核准紀錄。

Postman表示，將命令列工具與AI代理外掛一併安裝，是為了減少使用者分別安裝及設定的工作，相關資訊已列於下載頁面及更新流程，元件也能從應用程式內解除安裝。該公司承諾改善使用者選擇安裝的機制，尤其針對既有使用者，並重新檢視Hook核准及工作階段啟動行為，目前尚未公布修正版本與時程。