Ein am 25. Oktober 2026 im GitHub-Repository von Postman eröffneter Bericht beschreibt, wie die Desktop-App bei einem Update Integrationen für KI-Coding-Agenten aktiviert, ohne eine ausdrückliche Bestätigung einzuholen. Die Kommentare, aktiv bis zum 4. November, versammeln mehrere übereinstimmende Berichte sowie eine öffentliche Antwort des Herstellers vom 3. November.
Ein Bericht, der eine stille Installation dokumentiert
Der Melder, Nutzer „indicava“, erklärt, dass beim Start von Postman 12.33.4 unter macOS die App ein Codex-Plugin und ein Claude-Code-Plugin aktivierte, eine separate Postman-CLI installierte, eine Verbindung zu einer entfernten MCP-Instanz versuchte, die mit einem Authentifizierungsfehler scheiterte, und einen Startup-Hook registrierte, der vor jeder nicht-trivialen API-Engineering-Aufgabe eine Postman-Skill lädt. Der Bericht spricht von einem „schwerwiegenden Zustimmungs- und Vertrauensgrenzen-Problem“, stellt aber ausdrücklich klar, dass zu diesem Zeitpunkt keine Datenexfiltration nachgewiesen ist.
Was Postman ändert, ohne es klar zu kennzeichnen
Im Bericht zitierte Protokolle zeigen einen Eintrag auto-existing-upgrade, der die Installation beider Plugins festhält. Die Konfigurationsdatei von Codex erhält einen Postman-Marketplace-Eintrag, einen aktivierten Plugin-Eintrag und einen mit dem Hook verknüpften Vertrauens-Hash. Ein zweiter Bericht vom 3. November, der die Versionen 12.31.3 bis 12.35.1 abdeckt, bestätigt dasselbe Muster bei einer bestehenden Installation, Cursor eingeschlossen, wobei dort der Vertrauens-Hash nicht gefunden wurde. Ein Nutzer fand Postman zudem in der Konfiguration von GitHub Copilot aktiviert, ohne dass das integrierte Deinstallationsmenü es entfernte.
{"results": ["claude-code:installed", "codex:installed"]}Die Antwort des Herstellers am 3. November
Ein als von Postman stammend ausgewiesener Kommentar begründet das Bündeln von CLI und Agenten-Plugins mit den Schwierigkeiten, die Nutzer bei der getrennten Installation und Einrichtung hatten. Der Hersteller gibt an, dass dieses Bündeln auf der Download-Seite und im Update-Ablauf erwähnt werde und dass jede Komponente weiterhin aus der App heraus deinstallierbar bleibe. Man wolle „das Opt-in klarer gestalten, besonders für bestehende Nutzer“, und überprüfe derzeit das Verhalten bei Hook-Genehmigung und Sitzungsstart. Ein Termin für eine Korrektur wird nicht genannt, und mehrere Nutzer wenden ein, dass eine ausdrückliche Zustimmung für alle Profile gelten sollte, nicht nur für bestehende Installationen.
| Installierte Komponente | Beobachteter Ort | Gemeldete Wirkung |
|---|---|---|
| Codex-Plugin | ~/.codex/config.toml | Marketplace-Eintrag und automatisch aktiviertes Plugin |
| Claude-Code-Plugin | Plugin-Konfiguration des Agenten | SessionStart-Hook lädt eine Postman-Skill |
| Postman-CLI | Separat installierte Binärdatei | Vorhanden auch ohne ausdrückliche Anfrage |
| Copilot-Integration | ~/.copilot/settings.json | Bleibt trotz Deinstallation über das Menü bestehen |
Was das für das Vertrauen in Entwickler-Tools bedeutet
Der Vorfall zeigt ein Risiko, das mit der Verbreitung von Coding-Agenten immer häufiger wird: Ein Startup-Hook oder ein Drittanbieter-Plugin kann das Verhalten eines Agenten ändern, bevor ein Team es überhaupt bemerkt. Die Frage knüpft an die bereits durch die MCP-Spezifikation aufgeworfenen Punkte an, die genau regelt, wie sich ein Tool mit einem Agenten verbindet, sowie an die Praxis rund um den Einsatz redaktioneller Agenten im Produktivbetrieb, wo die Nachvollziehbarkeit automatisch geladener Anweisungen zu einem eigenen Prüfkriterium geworden ist.
Der Bericht belegt eine nicht zugestimmte Integration und Änderung von Anweisungen; er belegt keine Datenexfiltration.
~/.codex/config.toml, die Plugin-Konfiguration ihres Agenten und ~/.copilot/settings.json prüfen – das integrierte Deinstallationsmenü reichte in mindestens einem gemeldeten Fall nicht aus.Was zu beachten bleibt
Postman räumt ein, KI-Agenten-Integrationen gebündelt zu haben, ohne das Opt-in ausreichend sichtbar zu machen, besonders für bereits installierte Konten. Der Hersteller verspricht Anpassungen bei Zustimmung und Hook-Vertrauen, ohne verbindlichen Termin. Bis dahin bleibt die manuelle Prüfung der Konfigurationsdateien die einzige verlässliche Absicherung für betroffene Teams.
Solche Vorfälle werden zunehmend strukturell, da Entwickler-Tools agentische Integrationen standardmäßig mitliefern. Das eigentliche Problem ist nicht die Existenz des Plugins, sondern ein Startup-Hook, der sich selbst genehmigt und das Verhalten des Agenten ändert, ohne dass eine ausdrückliche Handlung verlangt wurde. Auch ohne Nachweis einer Exfiltration verdient eine ohne Zustimmung überschrittene Vertrauensgrenze die Behandlung als Sicherheitsvorfall, nicht als schlecht kommuniziertes Komfort-Feature. — Simon Janvier
Zum Weiterlesen: der ausführliche Bericht im GitHub-Repository von Postman.
