포스트맨, 클로드 코드·코덱스에 플러그인 몰래 설치

API 개발 도구 포스트맨(Postman)의 데스크톱 앱이 사용자 동의 없이 클로드 코드(Claude Code)와 코덱스(Codex) 같은 AI 코딩 에이전트에 자사 플러그인을 설치했다는 보고가 나왔다. 10월 25일 깃허브에 올라온 이슈에 따르면 설치 프로그램은 자신이 넣은 시작 훅(hook)을 '신뢰함'으로 직접 등록하기까지 했다. 11월 3일 포스트맨 공식 답변으로 보이는 댓글은 옵트인 절차를 "더 분명하게" 하겠다고 밝혔다.

핵심 정리

• 맥OS용 포스트맨 데스크톱 12.33.4가 'auto-existing-upgrade' 과정에서 클로드 코드·코덱스에 플러그인, 시작 훅, CLI를 추가했다고 이슈 작성자는 밝혔다.
• 추가된 훅은 API 작업 때 포스트맨의 'api-engineer' 스킬을 불러오도록 에이전트에 지시하며, 설치 프로그램이 이 훅의 신뢰 기록을 스스로 썼다는 주장이 나왔다.
• 작성자는 데이터 유출을 주장하지 않았다. 포스트맨 명의 답변은 "훅 승인과 세션 시작 동작을 검토 중"이라고 했다.

포스트맨 자동 설치, 무엇이 바뀌었나

깃허브 사용자 indicava는 이슈 #14370을 "[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook"라는 제목으로 올렸다. 대상은 데스크톱 12.33.4와 코덱스용 플러그인 1.1.0, 클로드 코드용 2.0.1이다.

보고에 따르면 포스트맨 자체 로그에는 'auto-existing-upgrade'라는 실행 계기가 남았다. 코덱스 설정 파일에는 포스트맨 마켓플레이스 항목과 활성화된 포스트맨 플러그인, 'trusted_hash' 값이 붙은 훅 항목이 생겼다. 클로드 코드에는 포스트맨 플러그인이 10월 24일 설치·활성화된 것으로 기록됐고, 사용자 로컬 bin 폴더에 포스트맨 실행 파일도 생겼다.

시작 훅과 '셀프 승인' 논란

새로 들어간 SessionStart 훅은 에이전트 세션이 시작되거나 초기화·압축될 때 실행된다. 이때 복잡한 API 작업에는 'postman:api-engineer' 스킬을 쓰라는 문구를 주입한다. 작성자는 이후 코덱스가 API 작업을 포스트맨 스킬로 돌렸고, 포스트맨 원격 MCP 서버에서 "Auth required" 오류가 반복됐다고 적었다.

작성자는 설치 프로그램이 approvePostmanHook이라는 함수를 호출해 자기 훅을 신뢰 목록에 올린다고 주장했다. 다만 신뢰 기록만으로 누가 만들었는지 증명되지는 않는다고 스스로 덧붙였다.

포스트맨의 답변

11월 3일 한 댓글 작성자가 포스트맨 공식 답변으로 읽히는 글을 올렸다. 다만 직원 표시는 없다. 답변은 설치를 쉽게 하려고 CLI와 에이전트 플러그인을 데스크톱 앱에 묶어 배포하며, 다운로드 페이지와 업데이트 과정에 이를 안내하고 앱 안에서 삭제할 수 있다고 설명했다.

답변은 "특히 기존 사용자를 위해 옵트인을 더 분명하게 하겠다"며 "지적한 훅 승인과 세션 시작 동작을 검토하고 있다"고 밝혔다. 이 이슈에는 11월 4일 기준 '좋아요'(👍) 반응이 209개 달렸다.

같은 현상을 겪었다는 사용자도 이어졌다. 한 사용자는 12.31.3에서 12.35.1로 업데이트한 뒤 같은 일이 생겼다고 했다. 다른 사용자는 깃허브 코파일럿 설정에서도 포스트맨이 켜져 있었고, 앱의 '삭제' 메뉴로는 지워지지 않았다고 전했다.

배경: 에이전트 플러그인과 사용자 동의

포스트맨 플러그인 설치 문서는 클로드 코드, 코덱스, 커서, 깃허브 코파일럿 CLI 등 9개 에이전트를 지원 대상으로 든다. 문서에는 "명령 하나로 컴퓨터에서 감지된 모든 에이전트에 설치할 수 있다"는 설명이 있다.

모델 컨텍스트 프로토콜(MCP)의 보안 모범 사례는 클라이언트가 원클릭 로컬 서버 설정을 지원한다면 명령 실행 전에 적절한 동의 절차를 "반드시(MUST)" 갖춰야 한다고 규정한다. 10월 29일 백도어가 심긴 클로드 코드 확장이 커서 마켓플레이스에 풀린 데 이은 사례다.

전망

포스트맨은 변경 사항이 반영되는 대로 이슈 스레드에 알리겠다고 했다. 사용자들은 모든 사용자 대상 옵트인과 완전한 원상복구 방법을 요구하고 있다. 개발자는 에이전트 설정 파일에 승인하지 않은 포스트맨 항목이 있는지 확인하는 것이 좋다.

자주 묻는 질문

포스트맨이 내 API 데이터를 외부로 보냈나?

최초 작성자는 유출을 주장하지 않았다. 작성자의 코덱스 로그에는 포스트맨 원격 MCP 연결이 "Auth required" 오류로 실패한 기록이 남았다.

어떤 버전이 해당되나?

보고된 것은 맥OS용 포스트맨 데스크톱 12.33.4, 그리고 12.31.3에서 업데이트된 12.35.1이다.

참고 자료

• [SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook — GitHub, postmanlabs/postman-app-support(2026년 10월 25일)
• Install the Postman plugin | Postman Docs — Postman
• Security Best Practices — Model Context Protocol(2026-07-28 개정판)