本文へスキップ
MameTechNews
AI

Postman Desktop 12.33.4、起動時にClaude CodeとCodexの設定へ無断でプラグインを追加　承認なしでスキルを読み込むフックも

## POINTS

  • Postman Desktop 12.33.4が起動時に~/.claude/settings.jsonと~/.codex/config.tomlへプラグインを追加
  • ~/.local/binにCLIを配置し、SessionStartフックで承認なしにAPIスキルを読み込む構成だった
  • Postmanは簡易セットアップのためと説明し、明確なオプトインに改めると表明
  • Claude CodeやCodexの設定ファイルに見覚えのない変更がないか確認が勧められている

報告によると、Postman Desktop 12.33.4は起動時にローカルのAIコーディングツールの設定を走査し、Claude Codeの~/.claude/settings.jsonとCodexの~/.codex/config.tomlにプラグインを追加していた。あわせて~/.local/binにCLIのバイナリも置いていた。追加された設定にはSessionStartフックが含まれ、セッション開始時にPostmanのAPI関連スキルが自動で読み込まれるため、通常の承認プロンプトを経ない形になっていた。macOSの利用者がアプリ自身のログから気づき、GitHubのissue #14370やHacker Newsで広く取り上げられた。Postmanはセットアップを簡単にするための仕組みだったと説明し、今後は明確なオプトインにすると表明した。開発者の間では、エージェントの設定ファイルを点検するよう呼びかける声や、複数のツールが共有する設定ファイルをどう守るかという議論が出ている。