Postman 偷偷往你的 AI 编程工具里装插件，被抓了现行。 10 月 24 日，一位 Mac 用户只是打开 Postman，几秒后 Claude Co… · @Ylj158852 · TwKit

@Ylj158852

Postman 偷偷往你的 AI 编程工具里装插件，被抓了现行。 10 月 24 日，一位 Mac 用户只是打开 Postman，几秒后 Claude Code 和 Codex 就被装上了插件。 没弹窗，没问过你，日志写着 auto-existing-upgrade。 更狠的是：安装器自己给自己的 hook 批了信任，绕过了审批框。 先说清楚，没证实它偷了数据，远程端点实测没连上，报 401。 吓人的是它有能力接一根管子进来，登录态下能读到啥，没人测过。 Postman 拖到 11 月 3 日才回应，说会把 opt-in 做得更清楚。 自查三步： 查日志里有没有 auto-existing-upgrade； 查 ~/.claude/settings.json 和 ~/.codex/config.toml 里有没有 postman； 卸载后清掉 marketplace、plugins、hooks.state。 你的配置文件就是免疫系统，谁动了它，你该第一个知道。 你电脑里装着 Postman 吗？

曝光 27 · 评论 0 · 点赞 1 · 书签 0