Postman未經同意自動安裝AI外掛並代核准Codex Hook引發爭議

API開發工具Postman桌面版遭使用者回報，在未獲明確同意的情況下，自動替Codex及Claude Code安裝外掛。部分版本的安裝程式甚至會嘗試代用戶核准啟動Hook，將信任紀錄寫入Codex設定檔，使Postman指令可在AI工作階段啟動時自動載入，引發授權機制爭議。根據使用者在GitHub提出的問題回報與執行日誌，Postman 12.33.4於更新時自動安裝了外掛與CLI工具，並在檢查雜湊值後將信任紀錄寫入Codex，取代原本需由用戶確認的Hook核准程序；後續版本Postman 12.35.1亦被發現自動安裝外掛，但未見代為核准紀錄。Postman官方對此回應，將AI外掛與CLI一併安裝是為了降低分開設定的繁瑣度，相關元件可於應用程式內移除。官方承諾將針對安裝同意機制以及Hook核准行為進行檢討改善，目前尚未發布具體修正版本與時程。

值得帶走的重點

• 使用者指出Postman桌面版更新會自動安裝Codex與Claude Code的AI外掛及命令列工具。
• Postman安裝程式曾被加入代為核准Codex啟動Hook功能，略過使用者原有的手動核准程序。
• Postman官方表示整合安裝是為了簡化流程，將改善選擇性安裝與檢視Hook核准行為，目前尚未公布修正時程。