Postman, 사용자 몰래 AI 플러그인 자동 설치하고 API 데이터 공유 시도
Postman silently auto-installs AI plugins and attempts to share all API data
Postman 데스크톱 앱이 사용자가 모르는 사이에 Codex와 Claude Code에 Postman 플러그인을 자동 설치하고, 시작 훅을 스스로 신뢰하도록 승인하려 한 사실이 드러났다. 설치된 훅은 모든 API 엔지니어링 작업을 Postman 스킬로 라우팅하도록 지시하며, 원격 MCP 연결도 인증 없이 활성화됐다. 제보자는 이를 심각한 동의 및 신뢰 경계 침해로 규정하고 자동 설치 중단과 완전한 롤백 경로를 요구했다.
API 클라이언트가 단지 내가 열었다는 이유만으로 다른 도구에서 스스로를 기본 워크플로로 만들어서는 안 된다.
HN 토론
365- pants2
Postman에 일어난 일은 참 안타깝다. API 테스트를 위한 아주 훌륭한 작은 개발자 도구로 시작했는데, 그러다가 왠 이유에선지 4억 달러가 넘는 투자를 유치하고 1,500명 이상의 직원을 고용했다. curl이나 little snitch 같은 작은 OSS/열정 프로젝트였어야 할 물건에 말이다. 대신 이제는 로그인 강제, 데이터 수집, 월 구독, AI 기능 등으로 기업 가치를 정당화해야 하는 처지가 됐다.
아직도 어떻게 50억 달러 이상의 가치를 평가받는지 모르겠다. 더 이상 이걸 실제로 쓰는 개발자를 한 명도 모르는데 말이다.
- primitivesuave
Postman은 그 도구를 통해 이루어지는 모든 단일 API 요청에 대해 쿼리 파라미터를 포함한 상세 정보를 기록한다. 쿼리 파라미터를 채우기 위해 템플릿 문법 `{{some_secret}}`을 사용하면, `some_secret`의 실제 비밀 내용을 Postman 서버로 전송한다. 이 로깅 엔드포인트로 나가는 네트워크 트래픽을 비활성화하면, 앱 전체가 제대로 작동하지 않는다.
나는 Postman이 HIPAA를 준수하는지 조사하다가 이 사실을 발견했다(준수하지 않는다).
- senfiaj
아직도 누가 Postman을 쓰나? 내 경험상 엄청나게 느려지고 비대해졌다. Bruno로 갈아탔다. 내 생각에 Postman은 uTorrent 같은 거다. 모두가 들어봤고 관성 때문에 많은 사람이 설치한다.
- bottombutton
의료 분야에서 일하는데, Postman은 이 문제로 우리 사이버 팀에게서 인증이 취소됐다. 우리는 모두 하룻밤 사이에 Bruno로 갈아탔다. 그래도 그쪽 영업팀은 엄청나게 우리를 찔러대고 있다.
- dham
우리는 몇 년 전에 bruno로 갔고 잘 지내고 있다. 요청 정의를 git에 저장할 수 있어서 좋다. 하지만 솔직히 말하면, 이제 이런 도구들이 전혀 필요 없다.
- CommonGuy
나는 6년 넘게 Postman 대안으로 Kreya[1]를 만들어 오고 있다. 오프라인 우선이고 프라이버시 중심이며 git을 위해 만들어진 저장 형식을 갖추고 있다.
우리 역사 전체에서 Kreya는 대부분의 경쟁자들과 달리 어떤 소란이나 원치 않는 변경 없이 사용자들에게 "그냥 작동"했다...
- georgel
Postman은 훌륭하고 가벼운 도구에서 비대해진 업셀링 덩어리로 전락했다.
- dvtkrlbs
나는 한동안 Yaak[1]을 사용해 왔다. 정말 신선한 공기 같은 존재다.
- unkn0wn_root
Postman 대안에 관심이 있지만 TUI를 좋아하고 .http 파일 사용 쪽으로 더 기울어져 있다면 resterm[0]을 확인해 보라.
참고로 나는 작성자다.
- ediamondscience
Postman이 어떻게 오늘날의 도구가 되었는지 이해할 수 없다. 최고의 버전은 그저 http 클라이언트 위에 얹힌 로거와 포매터였다. proto 임포트는 gRPC에 좋았다. 비교적 단순한 도구에 계정과 MCP와 그 밖에 던져 넣은 온갖 것들이 필요하다고 누가 생각했을까?