Pengembang yang biasa menggunakan aplikasi desktop Postman untuk pengujian API perlu segera memeriksa pengaturan AI coding agent di perangkat mereka. Pembaruan terbaru Postman terbukti memasang plugin secara otomatis ke dalam Claude Code dan OpenAI Codex tanpa meminta izin pengembang terlebih dahulu.
Temuan ini pertama kali diungkap oleh pengembang beridentitas indicava lewat laporan mendetail di GitHub pada 25 Oktober. Berdasarkan catatan sistem pada perangkat Mac miliknya, versi Postman 12.33.4 secara otomatis menginstal plugin untuk kedua AI agent tersebut pada 24 Oktober, lengkap dengan alat baris perintah (command-line tool) miliknya sendiri. Langkah ini memicu perdebatan sengit.
Kronologi Otomatisasi Plugin dan Instruksi Rahasia
Dalam perkembangannya, pembaruan Postman menyisipkan repositori plugin marketplace baru, mengaktifkan plugin Postman, serta menyetujui kait awal (startup hook) di dalam berkas konfigurasi Codex. Dokumen resmi Postman menyatakan bahwa sistem pemasang menyetujui hook tersebut secara otomatis. Padahal, persetujuan hook di Codex seharusnya berada sepenuhnya di tangan pengguna.
Saat sesi AI agent dimulai, instruksi ini langsung berjalan. Startup hook tersebut memerintahkan AI agent untuk selalu memuat keahlian postman:api-engineer sebelum merespons tugas rekayasa API yang kompleks. Tidak hanya itu, Postman juga menambahkan koneksi ke server MCP milik mereka. Koneksi ini kerap gagal dengan pesan kesalahan Auth required karena pengguna belum masuk ke akun Postman.
Dampak yang Meluas ke Cursor dan GitHub Copilot CLI
Laporan serupa mulai bermunculan dari pengembang lain di utas GitHub issue 14370 tersebut. Pada 3 November, pengguna yang memperbarui Postman ke versi 12.35.1 mendapati instruksi awal yang sama telah masuk ke Cursor. Pengguna lain menemukan keberadaan plugin Postman di dalam GitHub Copilot CLI. Sejauh ini, seluruh kasus yang dilaporkan menyasar pengguna sistem operasi macOS.
Meskipun tindakan ini dilakukan tanpa izin, tidak ada bukti bahwa Postman mengumpulkan data pribadi pengguna. Laporan awal dari indicava maupun penelusuran independen oleh media The New Stack mengonfirmasi hal tersebut. Data pengguna dipastikan aman.
Menanggapi gelombang protes, tim Postman akhirnya angkat bicara pada 5 November. Perwakilan Postman menjelaskan di utas GitHub bahwa tujuan awal mereka hanya untuk mempermudah proses konfigurasi awal. Pihak Postman berjanji merancang ulang pengalaman pengguna dengan kendali yang tepat dan menarik kembali (revert) perubahan tersebut. Postman juga memperbarui halaman unduhan dengan menambahkan keterangan bahwa aplikasi kini mencakup Postman CLI dan plugin.
Langkah Membersihkan Plugin Postman dari AI Agent
Keputusan Postman untuk menarik perubahan tidak otomatis menghapus berkas yang sudah terlanjur terpasang di komputer pengguna. Pembersihan manual harus dilakukan. Pengembang wajib bertindak.
Cara pertama adalah menggunakan menu bantuan di dalam aplikasi Postman. Masuk ke menu Help, lalu pilih opsi Postman CLI and Plugins untuk mencopot plugin AI agent. Namun, beberapa pengguna melaporkan bahwa jejak di Copilot CLI masih tersisa setelah metode ini dijalankan.
Metode kedua memanfaatkan Node.js lewat baris perintah. Jalankan perintah npx @postman/postman-plugin status di terminal untuk melihat daftar AI agent yang terdeteksi serta lokasi pemasangannya. Untuk menghapusnya, ganti kata status menjadi remove dalam perintah tersebut.
Langkah terbaik adalah memeriksa berkas konfigurasi secara mandiri di direktori home. Untuk Claude Code, periksa berkas settings.json di dalam folder .claude untuk mencari entri postman@claude-plugins-official, serta cek berkas installed_plugins.json di subfolder plugins. Pada Codex, semua konfigurasi tersimpan di berkas config.toml dalam folder .codex. Cari bagian yang memuat nama Postman dan hapus secara manual. Bagi pengguna Copilot CLI, periksa folder .copilot, serta pastikan berkas alat baris perintah di .local/bin telah bersih.
