포스트맨 업데이트 뒤 코덱스·클로드 코드 플러그인 설치 보고

포스트맨(Postman) 데스크톱 앱 업데이트 뒤 코덱스(Codex)와 클로드 코드(Claude Code) 플러그인, 포스트맨 CLI가 설치됐다는 이용자 보고가 나왔다. 공개된 설치 코드와 공식 문서는 플러그인 설치, 코덱스 시작 훅 승인, 원격 서비스 연결이 각각 다른 단계임을 보여준다.

이용자 indicava는 10월 25일 깃허브(GitHub) 이슈에 macOS용 포스트맨 데스크톱(Postman Desktop) 12.33.4의 로그를 올렸다. 로그에는 10월 24일 오후 6시 34분 14초(한국시간) ‘auto-existing-upgrade’ 경로로 두 플러그인을 설치했다는 기록과 포스트맨 CLI 설치 기록이 담겼다. 깃허브 이슈 #14370

다른 이용자는 11월 3일 댓글에서 포스트맨 12.31.3이 12.35.1로 업데이트된 뒤 CLI와 두 플러그인이 설치됐다고 보고했다. 이 이용자는 다음 날 코덱스 설정에 훅 신뢰 기록이 없었다고 덧붙였다.

첫 신고에 담긴 로그는 한 macOS 기기에서 나온 기록이다. 이슈에는 같은 동작이 깨끗한 macOS 환경에서 재현되지 않았다고 적혀 있다.

◇ 설치 경로에 따라 달라지는 훅 승인

신고자가 제시한 고정 버전의 플러그인 코드에는 ‘approvePostmanHook’ 함수가 있다. 이 함수는 코덱스의 hooks/list에서 포스트맨 훅을 확인한 뒤 설정에 ‘trusted_hash’를 기록하는 경로를 담고 있다. 코드만으로 첫 신고자의 기기에 남은 신뢰 기록을 누가 작성했는지는 알 수 없다. 고정 버전의 코덱스 훅 설치 코드

포스트맨 공식 문서는 코덱스 앱이나 개별 명령줄 경로로 설치할 때 훅이 신뢰되지 않은 상태로 등록돼 코덱스가 사용자에게 검토를 요청한다고 설명한다. 감지된 에이전트용 설치기는 훅을 직접 승인하거나, 승인할 수 없으면 사용자에게 검토를 안내한다. 에이전트별 설치 문서와 감지된 에이전트 설치 문서에 각각 설치 경로가 설명돼 있다.

공식 문서는 설치 명령의 ‘-y’ 옵션이 확인 프롬프트를 건너뛴다고 안내한다. 이 내용은 설치 명령에 관한 설명이며, 데스크톱 앱 업데이트 때 어떤 화면 안내가 표시됐는지는 다루지 않는다.

코덱스의 SessionStart 훅은 대화가 시작될 때 포스트맨 API 관련 기술을 불러오도록 안내한다. 따라서 플러그인 설치 기록만으로 훅이 승인되거나 실행됐다고 볼 수는 없다.

◇ 연결 기능과 실제 데이터 전송은 구분해야

포스트맨 플러그인은 코딩 에이전트를 API 설계·테스트·문서화 작업과 연결한다. 포스트맨 다운로드 페이지는 데스크톱 앱에 CLI와 플러그인이 포함된다고 안내한다. 포스트맨 다운로드 페이지

포스트맨 플러그인 저장소는 MCP 도구 호출이 포스트맨으로 전달되는 것이 설계된 기능이라고 설명한다. MCP는 AI 에이전트가 외부 도구·서비스와 연결하는 데 쓰이는 프로토콜이다. 포스트맨 플러그인 저장소

첫 신고자의 코덱스 설정에는 포스트맨의 원격 MCP 서버 연결이 추가됐지만, 관련 로그에는 인증이 필요하다는 오류가 남았다. 신고자는 자신이 확인한 범위를 원치 않은 통합과 설정 변경으로 한정했으며, 데이터 유출 증거는 제시하지 않았다.

포스트맨 플러그인 저장소는 연결된 워크스페이스에 CLI 실행 결과 등이 기본 게시될 수 있다고 안내한다. 명령에 ‘--report-events=false’를 붙이면 해당 게시를 끌 수 있다. 이는 문서에 설명된 데이터 흐름이며, 이번 신고에서 실제 전송이 확인됐다는 의미는 아니다.

해커 뉴스(Hacker News) 토론에는 별도 동의 없이 다른 에이전트 설정을 건드린다는 비판과 기업 환경에서의 설정 변경을 우려하는 의견이 나왔다. Bruno와 Insomnia 등 대체 도구를 언급한 댓글도 있었다. 해커 뉴스 토론

깃허브 이슈 댓글에서 한 이용자는 포스트맨 제거 메뉴를 사용한 뒤에도 깃허브 코파일럿 설정에 플러그인 항목이 남았다고 보고했다. 이는 해당 이용자가 자신의 기기에서 점검한 결과다.

이슈에 답글을 단 zecoquit 계정은 개별 연결 과정의 어려움을 줄이려고 CLI와 플러그인을 함께 묶었다고 설명했다. 이 계정은 기존 이용자의 선택 동의를 더 분명히 하고 훅 승인과 대화 시작 때의 동작을 검토하겠다고 썼다. 공개 프로필에서는 포스트맨 소속을 확인할 수 없다. zecoquit 공개 프로필