Postman GitHub 組織成員稱正撤回代理外掛安裝改動
情報摘要
針對 Postman Desktop 自動安裝代理外掛的用戶報告，GitHub 標示為 postmanlabs 組織成員的 preethammavin 於 11 月 5 日表示，團隊會重新設計用戶控制方式，期間正在撤回相關改動。留言未提供完成回滾的證據、修正版本或既有安裝的清理範圍。指定原始碼可核實嘗試批准自身 Codex hook 的邏輯，但實際執行與資料外洩仍未獲獨立核實。
11 月 5 日香港時間上午 11 時 46 分，preethammavin 在 Postman 支援倉庫 issue #14370 留言，表示原意是簡化開發者的代理設定，但產品內與網站的說明未能清楚傳達意圖，會重新設計體驗以提供適當控制，期間正在撤回這項改動。GitHub 將該帳號標示為 postmanlabs 組織成員；本文將回應歸於該成員，未把它延伸為所有技術指控均獲證實。
原始 issue 於 10 月 25 日建立。報告者 indicava 引述 10 月 24 日的本機日誌，安裝來源標為 auto-existing-upgrade，並列出 Claude Code 與 Codex 安裝結果及 CLI、代理設定的變更。這些是報告者提供的裝置證據，本文沒有重現該流程。
在報告指定的原始碼修訂 6c8e452e0f4237f4bcc0901cb1ac442dec707e49 中，Codex 安裝流程會呼叫 approvePostmanHook；它查詢 Postman hook 的狀態與雜湊，在符合條件時嘗試寫入 trusted_hash。API 不支援、狀態不符或寫入未確認時，可跳過批准或記錄未能確認；原始碼本身不能證實每部裝置均已授信或執行 hook。
同一修訂的啟動文字要求較廣泛的 API 工程工作先採用 Postman 技能，MCP 設定亦指向 Postman 服務。設定檔存在未能證明已成功連線或資料曾外傳。原始報告也指出，單憑信任紀錄不能確定是誰建立該紀錄。
另一名報告者 ronthedrummer 於 11 月 4 日澄清，其 Codex 設定沒有 trusted_hash，也沒有實際觀察 Codex hook 執行；看到啟動文字的是原已裝有外掛的 Cursor。這次更新仍被報告為寫入 CLI、Claude Code 外掛及 Codex 外掛與市集設定，但不能說成新安裝 Cursor 或已確認 Codex hook 觸發。
截至本次核對，11 月 5 日的成員留言沒有交代撤回是否已覆蓋全部用戶、哪些桌面版本或功能旗標受影響，以及既有外掛、hook 信任與 MCP 設定會否自動清理。停止後續安裝與清除既有設定是不同問題，均需後續證據確認。
受影響產品
Postman Desktop、Postman CLI 與代理外掛；原始報告為 macOS、Desktop 12.33.4，不能據此建立完整受影響版本矩陣
適用讀者
同時使用 Postman Desktop、Codex 或 Claude Code 的香港開發者及企業端點管理團隊
建議行動
檢視各代理的已安裝外掛、啟動 hook、信任狀態及 MCP 連線設定，對照團隊批准清單。若發現不需要的 Postman 整合，使用相關應用程式支援的移除介面處理，移除後重新核對是否仍有設定殘留，並保留必要日誌供管理員調查。不要僅憑正在撤回的留言當作裝置已完成清理；留意後續正式版本與移除說明。毋須為驗證報告而安裝或執行外掛。
風險評級依據
編輯評估為中度：涉及跨應用程式安裝、設定與 hook 信任邊界。公開原始碼可核實批准嘗試，組織成員亦回應安裝體驗爭議；沒有已核實 CVSS、完整受影響版本範圍或資料外洩證據。
解讀限制
原報告明確沒有聲稱證實資料外洩。本文未獨立核實任意程式碼執行、裝置遭入侵或資料外傳，不採納惡意軟件或竊取全部 API 資料的定性。
完整版本、平台、功能旗標及用戶同意歷史未獲核實；個別安裝結果不能推廣至所有用戶或其他代理。
GitHub 組織成員的撤回表述屬當時的回應，不是已完成發布、回滾或清理的驗收證據；亦不能反過來認證其他留言者的代表資格。
沒有已核實的香港受影響裝置數目。本文提供的是檢查與處理方向，未代讀者執行任何操作。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。