大家好，我是：
- 农村程序员（
2020年回农村，至今未出村） - 独立开发者（
致力于开发 1000 个小产品） - 技术观察者（
分享编程技术，行业资讯等） - 前端之虎陈随易（
自封的） - 我的官网是：
https://yicode.tech
Postman 又翻车了，这次不是因为涨价，是因为它动了别人家的东西。
10 月 24 日傍晚，一位开发者打开电脑上的 Postman，看了几分钟就关了。
第二天他发现，自己常用的两个 AI 编程助手不太对劲。
一个老报登录失败，另一个接到写接口的活儿，会先去翻 Postman 的使用说明。
他查了大半天，最后在 Postman 自己的日志里找到了答案。
日志写着安装成功，装进去的是给 Claude Code 和 Codex 用的插件。
问题在于，他从来没点过安装。
一份写着已安装的日志
他用的是 Postman 12.33.4。
日志里那行触发条件，直译过来就是一条专门给老用户的升级流程。
也就是说，只要你是登录状态的老用户，打开一次，它顺手就把事办了。
留下来的东西有三样。
第一样在他的 Codex 配置里，多了一个插件市场，一段每次启动自动读的指令，还顺手把这条指令标成了可信。
第二样在 Claude Code 的设置里，Postman 的插件从那一刻起就是打开状态。
第三样在他的家目录，多了一个 postman 命令，还留了一条指向官方的远程连接，只是连不上。
那句启动指令的内容，大意是遇到接口相关的工作，先加载 Postman 的规范。
听着不重，落点却很深。
它等于在别人家的工具里写了一句话，以后这类活儿默认找我，而且不用你点头。
十天没人应，一夜全网知
9 月 11 日，Postman 上线了这个插件仓库。
10 月 24 日，第一次有人在日志里抓到自动安装。
10 月 26 日凌晨，这位开发者写了一份很长的报告，标题里带着 "严重" 两个字。
报告里什么都有，日志原文、配置截图、安装器的源码链接，六条诉求一条条列清楚。
然后就没有然后了。
整整八天，仓库里没有一句官方回复，报告也没被打上任何标签。
11 月 3 日清晨，第一条评论才出现，接下来一天涌进五十条。
11 月 4 日凌晨，有人把它搬上了 Hacker News。
到我去核对的时候，那条帖子一千四百多分，四百六十多条评论。
当天白天，中文圈也跟上了，一条汇总帖几个小时就有十几万阅读。
骂声里有三种人
第一种最多，是收拾东西走人的。
他们的话很朴素，打开一个接口调试工具，结果它改了我的编程助手。
这些帖子底下最常出现三个名字，Bruno、Insomnia 和 Milkman，都是同类工具，能免费离线用。
第二种人更冷静，指向也更准。
他们说真正的漏洞不在 Postman，而在于我们给 AI 的信任只是一行配置，谁都能写。
Postman 只是碰巧当了那个写它的软件。
第三种人很少，但很关键。
他们提醒，那个传得到处都是的标题说的是 "试图共享全部 API 数据"，这一句站不住。
这不是突然发生的
Postman 的口碑已经跌了好几年。
去年 10 月，它砍掉免费版的小团队协作，一个团队只能留一个人，当时就有一轮凭什么还用它。
今年 6 月，它自己的安全页面承认，有人借一个第三方服务的账号，从它的销售系统里拿走了客户名单和报价。
那次是服务器被别人攻破，这次是自己动手。
同类的先例也有，GitKraken 在今年 4 月因为差不多的动作公开道过歉，官方博客里写的是，他们增强了 AI 工作流，但漏了关键步骤。
那句共享数据，站不住脚
把现有材料摊开，其实只有三层。
第一层是坐实的。
老用户打开一次就会被装插件，两个助手的配置会被改，启动指令会被标成可信。
两位互不相识的人，在两个版本上都复现了。
第二层是没说清的。
那条指令到底有没有真的跑起来，两个人说法不一致，一个说有记录，一个说没有。
第三层是没有证据的。
上传数据这件事，没有任何一份日志能支撑。
材料只到留了一条远程连接，而且连不上这一步。
写报告的人在文末专门声明，他不主张数据外泄。
想确认自己有没有中招
三条命令就够了。
bash
grep -i postman ~/.codex/config.toml
grep -i postman ~/.claude/settings.json
ls ~/.local/bin/postman ~/.copilot/settings.json要清理，客户端菜单里有卸载入口，在帮助下面的 "Postman CLI and Plugins" 里。
不过已经有人反馈，Copilot 那边卸不干净，配置里还留着。
截至 11 月 4 日，Postman 的官方账号还在发性能测试的内容，没就这件事表态。
写报告的人只提了一个要求，把它当成产品边界的事故来处理，别当成文档问题。
说到底，这件事让人不舒服的地方，不是一家公司多装了一个插件。
是我们早就默认，把能改配置的权限，交给了每一个愿意伸手的软件。
你机器上有没有中招，欢迎在评论区说说。
issue 地址：https://github.com/postmanlabs/postman-app-support/issues/14370。