Un desarrollador conocido como «indicava» en GitHub alertó el 25 de octubre sobre una situación preocupante: la versión 12.33.4 de la aplicación de escritorio de Postman para macOS instaló plugins en los agentes de codificación de inteligencia artificial Claude Code y OpenAI Codex sin su consentimiento explícito. Además, intentó aprobar automáticamente un hook de inicio para estos agentes, lo que les indica usar las herramientas de Postman para tareas relacionadas con desarrollo de APIs.
El problema fue detectado después de que Codex comenzara a mostrar errores de autenticación y a cargar habilidades relacionadas con Postman repetidamente, sin que se le solicitara. Los registros de la aplicación Postman confirman que el 24 de octubre se produjo un evento de actualización automática que instaló plugins para ambos agentes.
Instalaciones no autorizadas de plugins
Al abrir Postman, la configuración del agente Codex en el archivo ~/.codex/config.toml reflejaba estos cambios: un plugin habilitado de Postman, un mercado de plugins añadido y un hook confiable para iniciar sesiones. De igual manera, Claude Code mostró una configuración similar, con la presencia de un ejecutable CLI de Postman cuyos sellos temporales coincidían con el momento de la instalación. 
El desarrollador afirma que no autorizó estas modificaciones, que por ahora sólo se han documentado en un sistema macOS y aún no se han reproducido en otros entornos.
El hook de inicio que se autoaprueba
Lo más llamativo es el mecanismo que permite a Postman que Codex confíe en su plugin sin intervención manual. Según la documentación oficial de Postman, su instalador puede aprobar automáticamente el hook de inicio de sesión del agente en nombre del usuario. Este comportamiento contrasta con la instalación manual de plugins a través de Codex, donde el usuario debe revisar y aprobar previamente el hook.
El código fuente del instalador revela que, si Codex no confía aún en el hook, Postman utiliza un método llamado config/batchWrite para agregar el hash confiable del hook a la configuración de Codex, siempre y cuando el hook no haya cambiado. En caso de no poder confirmar o aprobar el hook, se registra un mensaje invitando al desarrollador a revisarlo.
Estos hooks permiten que los agentes de codificación reciban instrucciones automáticas incluso cuando el desarrollador no las ha solicitado. En concreto, Postman indica a Codex que cargue la habilidad postman:api-engineer antes de ejecutar la mayoría de las tareas relacionadas con APIs, forzando el uso de sus herramientas por defecto.
Preocupaciones de seguridad entre los desarrolladores
Este descubrimiento ha generado críticas en plataformas como GitHub y X. El investigador de seguridad Frank Denis calificó estas integraciones como «inadmisibles» y resaltó que Postman intenta confiar en su propio hook de inicio de sesión. Otro experto, Siddharth Garimella, sugirió que estos hooks interceptan datos de las APIs y los transmiten de vuelta a Postman, aunque el informe original no ofrece evidencia de que se produzca un robo de datos, sino que documenta modificaciones en la configuración y la conexión a un servidor remoto.
Se detectó también que Postman configuró una conexión a su servidor remoto MCP en https://mcp.postman.com/mcp, aunque Codex fallaba repetidamente en autenticarse con él.
En los foros de GitHub, varios desarrolladores definieron el comportamiento como «inaceptable» y que puede representar un riesgo en entornos corporativos, exigiendo mayor transparencia y consentimiento previo por parte de Postman.
Control sobre los agentes y futuras soluciones
El denunciante pide que Postman deje de instalar estos plugins sin permiso explícito y que la aprobación de los hooks quede en manos del usuario a través de Codex. También reclama una forma completa de revertir estos cambios, ya que el comando de desinstalación proporcionado deja configuraciones y conexiones a servidores remotos que no se eliminan automáticamente.
Por el momento, se recomienda que los desarrolladores revisen la configuración de Claude Code y Codex en busca de plugins, hooks o conexiones MCP no reconocidos.
Este incidente coincide con una mayor demanda de la comunidad para tener más control sobre sus agentes de codificación basados en inteligencia artificial. Mientras que la instalación automática y la autoaprobación de hooks de Postman persisten, quedan preguntas abiertas sobre por qué la aplicación de escritorio de Postman pudo iniciar ese proceso sin el consentimiento del usuario.
La publicación intentó contactar a Postman para obtener una explicación oficial acerca de estas instalaciones automáticas y la gestión del consentimiento, pero no recibió respuesta antes de la publicación.
Imagen: ©Gustopo – Unsplash
