Die Desktop-App des API-Werkzeugs Postman hat seit Ende Oktober bei Updates Plugins für die KI-Programmierwerkzeuge Codex und Claude Code eingerichtet. Ein Entwickler meldete am 25. Oktober in einem Fehlerbericht auf GitHub, dass die Installation ohne seine Zustimmung lief.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Postmans Produktchef Sarabmeet Kallar kündigte am 3. November an, die Zustimmung zu den Plugins vor allem für bestehende Kunden deutlicher zu gestalten.[2] Das Plugin weist die Agenten an, vor jeder größeren API-Aufgabe Postmans eigene Arbeitsanweisungen einzulesen.[3]
Das Wichtigste in Kürze
- Laut Protokoll richtete die App die Plugins bei bestehenden Installationen automatisch ein, erstmals belegt mit Version 12.33.4.
- Der Installer gibt in Codex einen Postman-Befehl, der bei jedem Sitzungsbeginn läuft, selbst frei.
- Der Entwickler selbst sieht keinen Beleg dafür, dass API-Daten abgeflossen sind.
- Firmen können in Claude Code per zentraler Richtlinie festlegen, aus welchen Quellen Plugins kommen dürfen.
Was hat die Postman-App installiert?
Das Protokoll der Postman-App vermerkte am 24. Oktober um 9:34 Uhr (UTC) die Einträge „claude-code:installed“ und „codex:installed“. In der Konfiguration von Codex fand der Entwickler danach Postmans Plugin-Quelle, das aktivierte Plugin und einen Postman-Server, über den der Agent per Model Context Protocol auf Postman zugreifen soll. In Claude Code war ebenfalls ein Postman-Plugin eingeschaltet, dazu lag das Kommandozeilenprogramm von Postman auf dem Rechner. Ein zweiter Bericht im selben Ticket zeigt denselben Ablauf am 3. November mit Version 12.35.1.[1]
Ein Startbefehl gibt dem Agenten bei jedem Sitzungsbeginn einen Text mit, den Postman als „EXTREMELY_IMPORTANT“ markiert. Laut diesem Text soll der Agent vor jeder nicht trivialen Aufgabe rund um APIs zuerst das Postman-Anweisungspaket „api-engineer“ einlesen. Ausgenommen sind nur reine Fragen und einzeilige Änderungen. Anweisungen in Projektdateien wie CLAUDE.md haben laut demselben Text Vorrang.[3]
Was ist an der Selbstfreigabe heikel?
Codex speichert die Freigabe eines Startbefehls als Prüfsumme in der Konfigurationsdatei. Postmans Installer liest diese Prüfsumme nach der Installation aus und schreibt sie selbst als „vertrauenswürdig“ zurück. Im Quelltext heißt die Funktion „approvePostmanHook“, in der aktuellen Fassung des Quelltexts auf GitHub ruft der Installer sie mit Stand 4. November weiterhin auf.[4]
Der Entwickler schreibt ausdrücklich, dass sein Bericht keinen Datenabfluss belegt. Die Anmeldung am Postman-Server scheiterte in seinen Protokollen.[1] Kallar begründet die Bündelung von App, Kommandozeilenprogramm und Plugins mit einer einfacheren Einrichtung. Die Freigabe des Startbefehls lasse Postman prüfen.[2]
Ein Werkzeug, das seinen Startbefehl selbst freigibt, bestimmt, was der KI-Agent des Entwicklers als Erstes liest.
Markus Seyfferth, Chefredakteur Dr. Web
Die Zahlen
Der Ablauf
Was sollten Entwicklerteams jetzt prüfen?
Postman-Einträge stehen in den Konfigurationsdateien ~/.codex/config.toml und ~/.claude/settings.json, das Kommandozeilenprogramm liegt in ~/.local/bin. Im Ticket tauchen außerdem Einträge in Cursor und GitHub Copilot auf. Der Menüpunkt zum Deinstallieren in der Postman-App ließ laut einem weiteren Bericht den Eintrag in Copilot stehen.[1] Auch die Codex CLI startet seit Version 0.157.0 standardmäßig einen Hintergrunddienst, der nach dem Schließen des Terminals weiterläuft.
Unternehmen können Plugins in Claude Code zentral steuern. Die zentral vorgegebene Einstellung strictKnownMarketplaces begrenzt die zulässigen Plugin-Quellen, auch bei automatischen Updates. Mit allowManagedHooksOnly laufen nur Startbefehle, die die Firma selbst verteilt.[5] Wie viel ein KI-Agent im Unternehmen sehen darf, legt damit schon die Konfigurationsdatei fest.
Ab dem 11. Dezember 2027 verlangt der Cyber Resilience Act, dass Produkte mit digitalen Elementen, darunter Software, mit einer sicheren Standardkonfiguration auf den EU-Markt kommen.[6] Rank Math Pro zeigte im Oktober, wie schnell der Verteilweg für Updates selbst zum Risiko wird: Über die Update-Pakete gelangte Schadcode auf WordPress-Websites.
Quellen
6 Quellen anzeigenQuellen ausblenden
- GitHub, postmanlabs/postman-app-supportDesktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook, Issue #14370
- RuntimeWirePostman’s head of product says it will make AI agent plugin opt-in clearer after auto-install complaints, Emerson Redding
- GitHub, postmanlabs/postman-pluginhooks/session-start-context.md, Revision 6c8e452
- GitHub, postmanlabs/postman-plugininstaller/src/hosts/codex-hooks.ts und codex.ts, Stand 4. November 2026
- AnthropicClaude Code settings reference, Abschnitte „strictKnownMarketplaces“ und „allowManagedHooksOnly“
- EUR-LexVerordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 71 und Anhang I Teil I Nr. 2
Mehr Newshunger?
- Codex CLI installiert standardmäßig einen dauerhaften Hintergrunddienst, der sich selbst aktualisiert
- Anthropic-Forscher: 0,1 Prozent vergiftete Trainingsdaten bauen KI-Agenten eine Hintertür ein
- Festplattenvollzugriff in macOS: Apple verschärft die Freigabe für KI-Agenten
- Microsoft hält führende KI-Modelle für nicht vertrauenswürdig und stellt Agenten unter Aufsicht
- Sicherheitslücke in ChatGPT: Ein geteilter Chat genügte, um fremde Konten zu übernehmen
- Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites
