Ein Entwickler hat berichtet, dass die Postman-Desktop-App Plugins in Claude Code und OpenAI Codex installiert hat, ohne dass er sie freigegeben hat. Der Fall ist in einem GitHub-Issue dokumentiert, über das The New Stack berichtet hat. Postman hatte auf Anfrage bis zur Veröffentlichung nicht geantwortet.

Ein Entwickler mit dem GitHub-Namen indicava hat am 25. Oktober ein Issue veröffentlicht, nachdem Codex wiederholt Authentifizierungsfehler zeigte und unaufgefordert Postman-Skills lud. Auslöser war nach seiner Darstellung das Öffnen der Postman-Desktop-App in Version 12.33.4 unter macOS. Die Anwendungsprotokolle, die dem Issue beiliegen, zeigen einen Installationseintrag vom 24. Oktober mit der Kennzeichnung auto-existing-upgrade und dem Ergebnis, dass Plugins für beide Coding-Agenten installiert wurden.

Betroffen waren Claude Code und OpenAI Codex. In der nutzerweiten Konfigurationsdatei von Codex, ~/.codex/config.toml, fand der Entwickler ein aktiviertes Postman-Plugin, einen neuen Plugin-Marktplatz und einen als vertrauenswürdig markierten Session-Start-Hook. Die Konfiguration von Claude Code enthielt ebenfalls ein installiertes Postman-Plugin. Zusätzlich lag eine Postman-CLI auf dem Rechner, deren Zeitstempel zur Installation passte. Der Entwickler gab an, keine dieser Änderungen ausdrücklich genehmigt zu haben. Dokumentiert ist eine Installation unter macOS; unabhängig nachvollzogen wurde das Verhalten auf anderen Systemen nicht.

Der Kern des Falls liegt in der Freigabe des Start-Hooks. Nach der eigenen Dokumentation von Postman kann der Installer einen Session-Start-Hook im Namen des Nutzers automatisch genehmigen. Wer das Plugin direkt über Codex installiert, muss den Hook dagegen selbst prüfen und bestätigen. Im Quellcode des Installers prüft Postman, ob Codex dem Hook bereits vertraut; ist das nicht der Fall, trägt er über config/batchWrite den vertrauenswürdigen Hash in die Konfiguration ein und kontrolliert vorher, ob sich der Hook geändert hat. Schlägt die Bestätigung fehl oder lässt sie sich nicht prüfen, verweist eine Protokollmeldung den Entwickler auf die Prüfung in Codex.

Der Hook gibt Coding-Agenten Anweisungen, ohne dass der Entwickler danach gefragt hat: Die Startanweisungen weisen Codex an, vor den meisten API-Aufgaben die Skill postman:api-engineer zu laden. Zusätzlich war eine Verbindung zum entfernten MCP-Server unter https://mcp.postman.com/mcp eingetragen; die Authentifizierung in Codex schlug laut Bericht wiederholt fehl.

In der Diskussion auf GitHub und X bezeichnete der Sicherheitsforscher Frank Denis die Integrationen als Ausschuss und verwies darauf, dass der Installer seinem eigenen Start-Hook zu vertrauen versucht. Ein weiterer Entwickler behauptete, die Hooks fingen API-Daten ab und sendeten sie an das Unternehmen. Das GitHub-Issue enthält dafür keine Belege: dokumentiert sind Änderungen an Agenteneinstellungen und eine entfernte MCP-Verbindung, nicht die Übertragung von Daten. Auf GitHub nannte ein Kommentator das Verhalten inakzeptabel und selbst in Unternehmensumgebungen riskant, ein anderer forderte Transparenz und eine Zustimmungsabfrage vor der Installation.

Der Entwickler verlangt, dass Postman bei bestehenden Installationen keine Plugins mehr ohne Zustimmung setzt und die Hook-Freigabe Codex überlässt. Außerdem soll sich die Änderung vollständig rückgängig machen lassen. Postman bietet einen Deinstallationsbefehl an; nach Darstellung des Entwicklers entfernt dieser jedoch weder Änderungen an Agenteneinstellungen noch vertrauenswürdige Hooks, MCP-Verbindungen oder installierte CLI-Werkzeuge. Bis zur Klärung bleibt die Prüfung der eigenen Konfiguration: In Claude Code und Codex lässt sich nachsehen, welche Plugins, Hooks und MCP-Verbindungen eingetragen sind.

The New Stack hat Postman zu den automatischen Installationen, der Hook-Genehmigung und der Zustimmung der Nutzer befragt; das Unternehmen hatte bis zur Veröffentlichung nicht geantwortet.

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.

Quelle: The New Stack – Originalartikel vom 03.11.2026; Abruf/Archivstand: 04.11.2026