要点
- API を試す開発ツールの Postman のデスクトップ版を開いたら、Claude Code と OpenAI Codex に Postman のプラグインが勝手に入った、と開発者が GitHub で報告した。
- Codex には、起動のたびに AI へ指示を読ませる仕組み（フック）が加わり、報告した人は、本来は利用者が自分で「信頼する」と決める手順を、プラグインのインストール処理が自分で承認しようとする作りになっていると指摘した。
- 報告した人はデータが外に送られたとは言っておらず、issue のコメント欄では、Postman の人が説明に来ていないという声が出ている。
何が起きたか
Postman は、Web の API（アプリどうしがデータをやり取りする窓口）を試したり管理したりするためのツールだ。世界中の開発者が使っている。
2026年10月25日、Postman の公式のサポート用リポジトリに issue #14370 が立った。題は「[SEVERE]」で始まる。報告した人は、macOS で Postman デスクトップ版 12.33.4 を使っていた。
報告によると、Postman のログには、10月24日 09:34（UTC。日本時間では同じ日の 18:34）に、Claude Code と Codex へのプラグインのインストールが終わった記録が残っていた。きっかけは、利用者が押した「インストール」ではない。ログには「すでに使っている人の更新に合わせた自動インストール」を示す名前が記されていた。サインインした状態だったことも記録されている。
報告で挙がった変化は次のとおりだ。
- Codex: Postman のプラグインの入手先が登録され、プラグインが有効になった。Postman の MCP サーバー（AI エージェントが外部のサービスを使うための接続先）への接続も設定された。さらに、Codex が起動するたびに動くフックが加わり、それを「信頼済み」とする記録まで書き込まれていた。
- Claude Code: 利用者全体の設定で、Postman のプラグイン（版 2.0.1）が有効になった。
- パソコン本体: 利用者のプログラム置き場に、Postman のコマンドラインのツールが置かれた。
フックの中身は、API に関わる作業の前に Postman の「スキル」（AI への作業の手引き）を読み込むよう、AI に指示するものだった。報告した人は、公開されているプラグインのソースコードに、インストール後に Postman 自身のフックを承認しようとする処理があることも示した。Codex は、フックを動かす前に利用者の確認を求める作りになっている。その確認を、入れる側が自分で済ませようとする作りだ。ただ、今回の件でこの処理が実際に承認を済ませたかどうかは、報告でも確定していない。
一方で、報告した人は慎重な線も引いている。MCP の接続は認証が要るため失敗していた。データが外に送られたとは主張していない。「信頼済み」の記録を誰が書いたかは、この記録だけでは決められないとも書いている。まっさらな Mac での再現も、まだできていない。
日本の利用者への影響
Postman は日本の開発の現場でもよく使われている。Claude Code や Codex を使う日本の開発者も多い。日本の利用者に同じことが起きたかどうかは分からない。
当たりうるのは、Postman デスクトップ版を使い、同じパソコンで Claude Code か Codex を使っている人だ。ほかに書き換えられうるエージェントやファイルがあるかはまだ分かっておらず、報告した人はそれを明らかにするよう Postman に求めている。Postman のドキュメントでは、プラグインは9つのエージェントに対応するとされている。
今すぐやること
- Postman デスクトップ版と、Claude Code か Codex を同じパソコンで使っているか確かめる。
- Claude Code と Codex の設定で、自分で入れた覚えのない Postman のプラグイン・フック・MCP の接続がないか見る。場所は下の「技術者向けの詳細」に書いた。
- 覚えがなければ外す。Postman のドキュメントには、プラグインを外すための命令が載っている。
- 会社で使っているなら、開発の担当にこの件を伝え、ほかの人のパソコンも確かめてもらう。AI エージェントへの指示がこっそり増えると、AI の動きが変わる。
- Postman の今後の対応を知るため、issue #14370 の続きを見ておく。
背景
AI エージェントは、プラグインやフック、MCP の設定に従って動く。設定に書かれた指示を、AI はそのまま読む。だから、設定を書き換えられると、利用者が知らないうちに AI の動きが変わる。
今回、悪意があったかどうかは分からない。Postman のドキュメントでは、プラグインは利用者が命令を実行して入れるものとして書かれている。対応するエージェントをまとめて探して入れる命令もある。
issue のコメント欄では、ほかの人も「入れた覚えのないフックが有効になっていた」と書いている。Postman を消したという声も多い。別のツールで似たことがあったと挙げる人もいる。どのアプリも AI エージェントの設定を書き換えられる、という指摘も出ている。
技術者向けの詳細
- 報告された版: Postman デスクトップ 12.33.4（macOS、サインイン済み）、Codex 用プラグイン 1.1.0、Claude Code 用プラグイン 2.0.1。
- Postman のログ:
~/Library/Application Support/Postman/logs/main.log。報告ではPostmanAgentPluginServiceの行に"source":"auto-existing-upgrade"とclaude-code:installed、codex:installedが出ていた。 - Codex:
~/.codex/config.tomlに、[marketplaces.postman]（入手先はpostmanlabs/postman-plugin）、[plugins."postman@postman"] enabled = true、SessionStart フックの[hooks.state...]（trusted_hashなど）が加わった。MCP の接続先はhttps://mcp.postman.com/mcp。 - Claude Code:
~/.claude/settings.jsonにpostman@claude-plugins-officialが有効として加わった。~/.claude/plugins/installed_plugins.jsonに user スコープの記録が残る。 ~/.local/binに Postman CLI の実行ファイルとlibが置かれた（自分で入れた人は消さないこと）。- 当たるかの確かめ方:
grep -n -i postman ~/.codex/config.toml
grep -n -i postman ~/.claude/settings.json ~/.claude/plugins/installed_plugins.json
grep -n auto-existing-upgrade ~/Library/Application\ Support/Postman/logs/main.log
ls -l ~/.local/bin | grep -i postman
- 外し方: Postman のドキュメントによると、
npx @postman/postman-plugin statusで入っているかを見て、npx @postman/postman-plugin removeで、見つかったエージェントから外せる（Node.js が要る）。Codex のconfig.tomlに残った項目は、手で消すのが確実だ。 - issue は、自動インストールを止めて利用者の同意を取ること、フックの自己承認をやめること、戻す手順を出すことを Postman に求めている。
