Postman серьёзно накосячил: при обычном автообновлении приложение само себе выписало право ставить AI-плагины в Codex и Claude Code — без единого клика пользователя. 😳

Хуже того: установщик сам одобрил доверие к собственному startup-хуку, который заставляет агента грузить навык postman:api-engineer на любую задачу с API. А в конфиге Codex нашли адрес удалённого MCP-сервера mcp.postman.com.

На Hacker News тема взлетела до 650+ баллов и 200+ комментариев за несколько часов — разработчики в ярости и массово переходят на Bruno, Insomnia и Yaak. 🔧

[#AI](/search?q=%23AI) [#Postman](/search?q=%23Postman) [#devsecurity](/search?q=%23devsecurity)