你根本没点安装，它自己进来了！没点过安装，Postman 却悄悄钻进你的编程 Agent 改了指令

大白话有开发者在 GitHub 上发帖说，自己只是打开 Postman 桌面版 12.33.4，结果 Codex 和 Claude Code 里凭空多出了 Postman 插件。Postman 自己的日志里写着「自动升级安装」，装完还注册了一个启动钩子，每次开新会话都往 Agent 里塞一段话，让它做 API 相关活儿之前先加载 Postman 的技能包。这位开发者说，这等于自己给自己批了安全许可。帖子在 Hacker News 上冲到 1000 多分，成了当天最火的 AI 开发者话题。

对你意味着只要你电脑上装了 Postman 又用 Codex 或 Claude Code，就可能中招；这事关你的编程助手到底听谁的。