Postman instala plugins de IA sin permiso en Codex y Claude

Qué denunció el reporte en GitHub

Un usuario abrió el issue #14370 en el repositorio de soporte de Postman el 25 de octubre de 2026 y documentó algo que muchos equipos temen: al abrir la app de escritorio después de un tiempo sin usarla, Postman habría instalado plugins de IA en otros programas sin pedir permiso. El reporte describe cambios en Codex y Claude Code, dos agentes de programación que nada tienen que ver con el cliente de APIs.

El autor, que firma como indicava, no habla de una sospecha: adjunta rutas de archivos, líneas de log con marca de tiempo y enlaces al código fuente del instalador. Su conclusión es directa: un cliente de APIs no debería convertirse en el flujo de trabajo por defecto de otras herramientas simplemente porque lo abrió.

Para un founder que usa agentes de IA para escribir código, la pregunta no es si Postman tiene razón, sino qué quedó instalado en las máquinas de su equipo.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Cómo Postman modificó los agentes de código

El reporte detalla tres frentes de cambios, todos en la configuración global del usuario y no en el proyecto.

Log de la app: en ~/Library/Application Support/Postman/logs/main.log, una entrada con marca de tiempo 2026-10-24T09:34:14.418Z registra "source":"auto-existing-upgrade" y "results":["claude-code:installed","codex:installed"]. Es decir, la propia aplicación deja constancia de que instaló ambos plugins de forma automática.
Configuración de Codex: el archivo ~/.codex/config.toml quedó con un marketplace nuevo (marketplaces.postman), el plugin postman@postman habilitado y un registro de hook marcado como confiable con dos hashes SHA-256.
Configuración de Claude Code: ~/.claude/settings.json habilitó postman@claude-plugins-official, y installed_plugins.json registró la versión 2.0.1 con fecha de instalación y última actualización en 2026-10-24T09:34:02.610Z. Además apareció un ejecutable de Postman con su carpeta lib en ~/.local/bin.

Las versiones involucradas según el reporte son Postman desktop 12.33.4, plugin de Codex 1.1.0 y plugin de Claude 2.0.1.

¿Qué es un hook de sesión y por qué es el punto más delicado?

Un hook de sesión es una instrucción que el agente ejecuta cada vez que arranca. El plugin instalado registra un SessionStart con el matcher startup|clear|compact que imprime un archivo de contexto. Ese archivo dice, textualmente, que antes de responder a cualquier tarea de ingeniería de APIs no trivial el agente debe cargar la skill postman:api-engineer y seguirla.

El problema no es la skill en sí, sino su alcance: aplica a diseñar, implementar, mockear, testear, monitorear, documentar o desplegar APIs. Es una instrucción mucho más amplia que un pedido explícito del usuario.

El segundo punto, y el más serio, es la autoaprobación. Según el código del instalador, installer/src/hosts/codex.ts llama a approvePostmanHook(system) después de instalar el plugin, y codex-hooks.ts obtiene el hash del hook vía hooks/list y escribe hooks.state con config/batchWrite. El comentario del propio código dice: Approves only Postman's current hook after installation.

Dicho simple: la herramienta que se instala también se aprueba a sí misma. El autor aclara que el registro de confianza por sí solo no prueba quién lo creó, así que no lo presenta como evidencia de una interacción del usuario. Esa honestidad refuerza el resto del reporte.

La contradicción con el flujo oficial de instalación

En la página oficial de descargas, Postman presenta sus plugins como una acción explícita del desarrollador. Para Claude, los comandos publicados son claude plugin marketplace add anthropics/claude-plugins-official y claude plugin install postman@claude-plugins-official. También promociona postman init para cargar las skills en el agente y Passport Lens, una herramienta para revisar qué secretos envían los agentes.

Ese flujo, tal como está documentado, requiere que el usuario escriba el comando. El reporte describe lo contrario para usuarios existentes: instalación automática al abrir la app. La tensión entre ambas cosas es el corazón del reclamo.

Qué significa esto para tu startup

Si tu equipo usa agentes de IA para tocar código de producción, este caso es una lección sobre superficie de confianza. Cada plugin y cada hook que se agrega a un agente es una instrucción que el modelo va a seguir sin que nadie la revise. En un entorno corporativo, eso puede significar que un agente cargue skills de terceros en tareas sensibles, o que intente conectarse a servidores MCP remotos.

El reporte menciona además que el MCP remoto (https://mcp.postman.com/mcp) quedó habilitado sin una conexión autenticada funcional, con errores de Auth required en los logs de Codex. Un servicio mal configurado es ruido; un servicio mal configurado con permisos amplios es un riesgo.

Acciones concretas que puedes tomar hoy:

Audita la configuración global de tus agentes. Revisa ~/.codex/config.toml, ~/.claude/settings.json y ~/.claude/plugins/installed_plugins.json buscando marketplaces, plugins y hooks que nadie de tu equipo recuerde haber instalado.
Trata los hooks como código. Cualquier SessionStart que inyecte instrucciones debe pasar por revisión, igual que un cambio en el pipeline de CI.
Separa entornos. Si un agente corre en la máquina de un dev, no debería tener acceso a credenciales de producción. Herramientas como Passport Lens existen justamente para ver qué sale de la máquina.

Qué alternativas está mirando la comunidad

En el hilo aparecen varias alternativas mencionadas por otros usuarios: Insomnia, Bruno y un cliente HTTP propio que un desarrollador empezó a construir tras el incidente. No son recomendaciones verificadas de rendimiento ni de seguridad, pero marcan una tendencia: cuando la confianza se rompe, los equipos migran.

También circula en el hilo la afirmación de un usuario de que Postman habría modificado el contenido de su página de descargas después del reporte, apoyándose en una captura de Wayback Machine del 26 de octubre de 2026. Es una acusación de un comentarista, no un hecho confirmado por la empresa.

Hasta el cierre de esta nota, en el hilo no figura una respuesta oficial de Postman al reclamo.

Conclusión

El caso de Postman es un recordatorio incómodo: las herramientas que instalamos para trabajar más rápido también amplían la superficie de confianza de nuestras máquinas. La diferencia entre una integración útil y una imposición está en una sola palabra: consentimiento.

Para un founder, la lección práctica es simple. Antes de sumar cualquier plugin de IA al stack del equipo, define quién puede aprobar hooks, qué agentes pueden tocar qué repositorios y cómo se revierte todo. La velocidad sin control no es productividad: es deuda técnica con intereses.