Postman хөгжүүлэгчдийн итгэлийг алдав: AI агентуудад зөвшөөрөлгүйгээр плагин шахаж, аюулгүй байдлын шалгуурыг тойрчээ

API хөгжүүлэлт, туршилтын ертөнцөд бараг бүх инженерийн өдөр тутмын хэрэглээ болсон Postman-ий эргэн тойронд аюулгүй байдал, ёс зүйн ноцтой маргаан дэгдлээ. Хөгжүүлэгчдийн дунд тархсан хамгийн сүүлийн баримтуудаар Postman-ий Desktop аппликейшн шинэчлэгдэх явцдаа хэрэглэгчээс ямар ч зөвшөөрөл авахгүйгээр систем дэх AI агентуудыг нэгжин шалгаж, өөрийн плагиныг хүчээр суулгаж байсан нь илэрчээ.

GitHub болон Hacker News дээр тренд болж буй энэхүү асуудал нь хөгжүүлэгчдийн дургүйцлийг дээд цэгт нь хүргээд байна.

Системд юу болов? Лог файлуудын илчилсэн баримт

Асуудал Postman-ий албан ёсны дэмжлэгийн GitHub санд (Issue #14370) хөгжүүлэгчдийн нийтэлсэн баримтаар анх олон нийтэд ил болсон юм. Хөгжүүлэгчид өөрсдийн Mac болон бусад орчинд OpenAI Codex болон Anthropic Claude Code ашиглах үед тодорхойгүй MCP (Model Context Protocol) анхааруулга гарч, API холбогдолтой бүх код бичих үйлдлүүд шууд Postman-ий тусгай skill-үүд рүү автоматаар чиглэгдэж эхэлснийг анзаарчээ.

Системийн гүний лог болон тохиргооны файлуудыг шалгахад дараах цочирдом баримтууд илэрсэн байна:

Дур мэдэн плагин суулгасан: ~/Library/Application Support/Postman/logs/main.log файл дээр аппликейшн арын горимд auto-existing-upgrade командыг ажиллуулж, систем дээрх claude-code:installed, codex:installed үйлдлүүдийг дуусгасан гэх бичилтүүд гарч иржээ.
Тохиргооны файлуудыг өөрчилсөн: ~/.codex/config.toml файлд хөгжүүлэгчийн оролцоогүйгээр Postman-ий албан ёсны репозиторыг marketplace эх сурвалж болгон нэмж, postman@postman плагиныг идэвхжүүлсэн байв.
Алсын MCP сервер рүү холболт үүсгэсэн: Тохиргоонд mcp.postman.com руу холбогдох алсын MCP сувгийг шууд үүсгэж, AI агентаас өгөгдлийг алсаас дамжуулах орчныг бэлдсэн байжээ.

Хамгийн ноцтой алдаа: Аюулгүй байдлын шалгуурыг өөрөө тойрсон нь

Хамгийн их шүүмжлэл дагуулж буй хэсэг нь ердийн плагин суух үйл явц биш, харин аюулгүй байдлын "Trust Boundary"-г зориудаар эвдсэн явдал юм.

Ердийн үед Codex эсвэл бусад AI кодинг агентууд шинэ startup hook буюу эхлүүлэх зааварчилгаа нэмэгдэхэд аюулгүй байдлын үүднээс хөгжүүлэгчид терминал дээр сануулга өгч, тухайн скриптийн SHA-256 хэшийг гар аргаар зөвшөөрөхийг шаарддаг. Энэ нь гуравдагч этгээд дур мэдэн системд хортой заавар оруулахаас сэргийлдэг үндсэн хамгаалалт билээ.

Гэтэл Postman-ий суулгагч скрипт Codex-ийн hooks.state файлд өөрөө шууд хандаж, өөрийн зааварчилгааны хэш кодыг (trusted_hash = "sha256:...") "хэрэглэгч зөвшөөрсөн" гэсэн төлөвтэйгөөр шууд бичиж хадгалсан байна. Энэ нь хөгжүүлэгчийн зөвшөөрлийг хуурамчаар үүсгэж, аюулгүй байдлын анхааруулгыг харуулалгүй дарсан хэрэг бөгөөд олон инженерүүд үүнийг "Malware буюу хортой програмын үйлдэлтэй агаар нэг" гэж үзэж байна.

Хөгжүүлэгчдийн хувьд яагаад энэ нь аюултай вэ?

API хэрэгслүүд нь хөгжүүлэлтийн хамгийн эмзэг цэгүүдийг өөртөө агуулж байдаг. Postman сангууд (collections) болон орчны хувьсагчид (environment variables) дотор:

Продакшн болон туршилтын орчны нууц түлхүүрүүд (API Keys),
Мэдээллийн сангийн холболтууд,
Хэрэглэгчийн Auth токен, JWT зэрэг нууц өгөгдлүүд хадгалагддаг.

Хэрэв AI кодинг агент таны өмнөөс код бичих, засварлах бүрдээ Postman-ий хяналтгүй skill-үүдийг ажиллуулж, алсын MCP сервер рүү context илгээх эрсдэл үүсвэл эдгээр нууц мэдээлэл гадагш алдагдах маш том цоорхой бий болно. Байгууллагын аюулгүй байдлын бодлого чангатай томоохон компаниудын хувьд энэ нь ноцтой зөрчил юм.

"Гайхалтай хэрэгсэл байснаас аварга Bloatware болсон түүх"

Энэхүү дуулиан зөвхөн ганц плагины тухай биш, харин Postman-ий олон жилийн турш явж ирсэн бүтээгдэхүүний өөрчлөлтөд өгч буй хөгжүүлэгчдийн цөхрөл юм.

Анх энгийн, хөнгөн REST клиентээр гарч ирж байсан энэ хэрэгсэл сүүлийн жилүүдэд хэт их хөрөнгө оруулалт татаж, олон зуун ажилтантай корпораци болсноор хэрэглэгчдийг хүчээр Cloud бүртгэл рүү шахах, офлайн горимыг хязгаарлах, зар сурталчилгаа болон шаардлагагүй AI функцуудыг багтааж эхэлсэн. Иймээс Reddit, Hacker News зэрэг талбарууд дээр олон компаниуд Postman-ийг өөрсдийн машин дээрээс бүрмөсөн устгаж байгаагаа мэдэгдэж байна.

Хэрэв та Postman ашигладаг бол системээ хэрхэн шалгах вэ?

Хэрэв та Mac эсвэл Linux дээрээ Postman-ий 12.33 хувилбарыг ажиллуулж байгаа бол дараах файлуудыг шалгаж, цэвэрлэхийг зөвлөж байна:

Codex тохиргоо: ~/.codex/config.toml болон hooks.state файлуудаас Postman-тай холбоотой тохиргоог шалгаж устгах.
Claude Code тохиргоо: ~/.claude/settings.json болон ~/.claude/plugins/installed_plugins.json дотор зөвшөөрөлгүй плагин байгаа эсэхийг хянах.
Плагиныг устгах: Терминал дээр npx @postman/postman-plugin remove командыг ажиллуулж, ~/.local/bin/postman байрлалд сэжигтэй бинар үлдсэн эсэхийг нягтлах.

Альтернатив хувилбарууд руу шилжих нь

Энэхүү үйл явдлын дараа нээлттэй эхийн, хөнгөн, хөгжүүлэгчийн өгөгдлийг зөвхөн орон нутгийн Git сан дотор хадгалдаг альтернативууд дахин эрчээ авч байна:

Bruno: Өгөгдлийг энгийн plain-text файлуудаар хадгалдаг, cloud шаарддаггүй, нээлттэй эхийн шилдэг сонголт.
Yaak / HTTPie: Хурдан, цэвэрхэн интерфэйстэй, орчин үеийн REST/GraphQL клиентүүд.
Insomnia (Offline version) эсвэл curl/hurl: Системд ямар нэгэн далдын процесс үүсгэхгүй сонгодог найдвартай арга хэрэгслүүд.

Хөгжүүлэгчдийн ашиглаж буй багаж хэрэгслүүд AI эрин үед улам ухаалаг болохын хэрээр бидний ажлын орчин руу хэр гүн нэвтэрч, ямар зөвшөөрөл авч байгааг байнгын хяналтад байлгах цаг болсныг энэ үйл явдал тод санууллаа.

Эх сурвалж: Hacker News, GitHub Issues (#14370 postman-app-support), Reddit r/ClaudeAI.