打开 Postman，Claude Code 和 Codex 就被改了：先自查这三处配置

核心判断先说清楚：这件事最该警惕的不是“Postman 偷了你的 API 数据”——目前没有任何证据证明数据被传走；真正坐实的是另一件更日常的事：一个桌面应用在你没点“安装插件”的情况下，改了另外两个工具的配置文件，还替自己的启动钩子签了信任。这叫越界安装，名字再好听也是越界。

事情的链条是这样被扒出来的。10 月 24 日，一名用户打开 Mac 上的 Postman 桌面版 12.33.4，Postman 自己的日志里出现了一条 auto-existing-upgrade 记录，结果是 claude-code:installed、codex:installed——两个 coding agent 的插件都被装上了。改动包括：Codex 的全局配置里多了 Postman 插件市场条目和一个 SessionStart 钩子，Claude Code 的配置里多了 Postman 插件，~/.local/bin 里还多了一个 Postman CLI。更关键的一步在钩子信任上：安装器里一个叫 approvePostmanHook 的函数，直接把自家钩子的信任哈希写进了宿主应用的信任库——本来是用来拦第三方悄悄跑代码的确认环节，被安装器自己替用户点了“同意”。

那个钩子会干什么？它告诉 agent：在处理任何“非平凡的 API 工程任务”之前——设计、实现、 mock、测试、监控、文档、部署都算——先加载 Postman 的 api-engineer 技能。也就是说，不用你调用 Postman，你的 agent 以后做 API 活时，会先按 Postman 的那套方法论走。远程 MCP 连接也被配上了，地址指向 Postman 的服务器，但这一步恰好没成：日志显示认证失败，连接没建立。所以要分清两句话：插件和钩子确实被悄悄装上了，数据被传走目前没有证据。网上流传的“Postman 企图分享你全部 API 数据”这个标题，证据支撑不到那一步，别跟着传。

Postman 在 issue 里的回应是：捆绑 CLI 和 agent 插件是为了让用户少折腾，下载页和更新流程里有提及，插件可以在应用内卸载；同时表示会“把 opt-in 做得更清楚，尤其对老用户”，并复核钩子审批和会话启动行为。这个回应承认了体验问题，但没有否认自动安装本身。第二名用户在 11 月 3 日复现了类似行为：从 12.31.3 升级到 12.35.1 后，CLI、Claude Code、Codex 插件同样被装上，同样没有数据上传的证据。也就是说，这不是某台机器的偶发故障，至少在两个版本线上都出现过。

对用 coding agent 干活的人，立刻能做的自查就三处，复制就能跑：第一，搜一遍两个 agent 的配置目录有没有 postman 字样；第二，看 Codex 配置里的 hooks.state 和 Claude Code 的插件列表里有没有你没装过的 Postman 条目；第三，看 ~/.local/bin 里有没有你没主动装的 Postman 可执行文件。查到就按官方卸载路径清掉，并且记住：只删 Postman 应用本体不等于清干净，插件、钩子信任记录、MCP 配置、CLI 是四处不同的地方，要分开检查。

这个结论在什么情况下要改：如果 Postman 公布了默认关闭自动安装的新版本并经独立复现确认行为消失，或者有证据表明数据确实被传走，前一句结论要升级为数据事件，后一句自查清单仍然有效。在那之前，别把“没传数据”读成“没问题”：agent 的配置文件就是它的行为边界，谁能不经你同意改它，谁就能不经你同意改你的 agent 怎么干活。工具之间的竞争，最后拼的不只是功能，还有它进你机器时敲不敲门。