Postmanが無断でAIプラグインを自動導入、自分のフックまで自己承認
Postman silently auto-installs AI plugins and attempts to share all API data
MacでPostmanを起動しただけで、CodexとClaude CodeにPostmanのプラグインが自動インストールされ、グローバル設定が書き換えられていた。インストーラは自分のSessionStartフックを信頼済みとして登録し、あらゆるAPI作業をPostman経由に誘導する指示を仕込む。認証の通らないMCP接続やCLIまで導入されており、報告者は同意と信頼境界の重大な侵害だと訴えている。
APIクライアントは、私がそれを開いたというだけで、他のツールのデフォルトのワークフローに自分を組み込むべきではない。
HNでの議論
362- pants2
Postmanに起きたことは残念だ。APIテスト用の優れた小さな開発者ツールとして始まった。なのに、どういう理由かcurlやLittle Snitchのような小さなOSS／情熱プロジェクトであるべきものが、4億ドル以上を調達し1500人以上の従業員を抱え込んだ。その結果、今ではログインを強制し、データを収集し、月額サブスクリプションやAI機能などでバリュエーションを正当化しなければならなくなっている。
もう実際に使っている開発者を一人も知らないのに、どうやって50億ドル以上の評価額がついているのか、いまだに分からない。
- primitivesuave
Postmanは、そのツールを通じて行うすべてのAPIリクエストについて、クエリパラメータを含む詳細な情報をログに記録する。クエリパラメータを埋めるためにテンプレート構文`{{some_secret}}`を使うと、`some_secret`の実際の秘密の内容をPostmanのサーバーに送信する。このログ記録エンドポイントへの外向きネットワークトラフィックを無効にすると、アプリ全体が正常に動作しなくなる。
これを発見したのは、PostmanがHIPAA準拠かどうかを調査していたときだ（準拠していない）。
- senfiaj
いま誰がPostmanなんて使ってるんだ？俺の経験では、ひどく遅くて肥大化した。Brunoに乗り換えた。個人的には、PostmanはuTorrentみたいなもので、誰もが名前を知っていて、惰性で多くの人がインストールするんだと思う。
- bottombutton
医療業界で働いているが、この件でPostmanはうちのサイバーチームから認定を取り消された。全員が一晩でBrunoに乗り換えた。とはいえ、彼らの営業チームはすごい勢いで我々に連絡を取ってきている。
- dham
何年も前にBrunoに移行して、調子がいい。リクエスト定義をgitに保存できるのはいいね。でも正直なところ、こういうツールはもうほとんど必要ない。
- CommonGuy
私は6年以上前からPostmanの代替としてKreya [1] を開発している。オフラインファーストでプライバシー重視、git向けに作られたストレージ形式を備えている。
長年の間、Kreyaは他のほとんどの競合と違って、ドラマも望まない変更もなく、ユーザーにとって「ただ動く」ものだった……
- georgel
Postmanは優れた軽量ツールから、肥大化したアップセルの塊になってしまった。
- dvtkrlbs
私はしばらくYaak [1] を使っている。実に爽快だ。
- unkn0wn_root
Postmanの代替に興味があるけどTUIが好きで、どちらかというと.httpファイルを使いたい人はresterm[0]をチェックしてほしい。
ちなみに作者は私だ。
- ediamondscience
Postmanがどうして今のようなツールになったのか理解できない。最高だったバージョンは、HTTPクライアントの上に載った単なるロガーとフォーマッタだった。protoインポートはgRPCに便利だった。比較的シンプルなツールにアカウントやMCPやその他諸々を詰め込む必要があると誰が思ったんだ？