인기 API 개발 및 테스트 도구인 포스트맨(Postman)이 사용자 몰래 인공지능(AI) 플러그인을 자동 설치하고, 심지어 사용자 API 데이터를 포스트맨의 AI 기능으로 라우팅하려 했다는 의혹이 제기되어 개발자 커뮤니티에 큰 파장을 일으키고 있습니다. 한 사용자가 자신의 맥(Mac)에서 포스트맨을 실행한 후 코딩 에이전트(coding agent)에 예기치 않은 변경 사항이 발생한 것을 발견하면서 이 문제가 수면 위로 떠올랐습니다. 이는 사용자 동의 없이 다른 애플리케이션의 핵심 설정을 변경하려 시도했다는 점에서 심각한 신뢰 문제로 지적됩니다.
해당 사용자의 조사에 따르면, 포스트맨은 코덱스(Codex)와 클로드(Claude) AI 플러그인을 자동으로 설치했으며, 포스트맨 로그에도 'auto-existing-upgrade'를 통해 플러그인이 성공적으로 설치되었다는 기록이 명확히 남아있었습니다. 더욱이 포스트맨은 코덱스의 전역 사용자 설정(global user configuration)을 변경하여 모든 API 관련 작업(설계, 구현, 테스트 등)이 포스트맨의 'API 엔지니어' 스킬을 따르도록 지시하는 훅(hook)을 등록했습니다. 이 훅은 포스트맨이 설치 과정에서 자체적으로 신뢰할 수 있도록 승인하려는 시도까지 한 것으로 드러났습니다. 또한, 인증되지 않은 상태로 원격 MCP(Multi-Cloud Platform) 연결을 활성화하고, 클로드 코드(Claude Code)에도 플러그인을 설치하는 등 광범위한 변경이 이루어졌습니다.
이러한 포스트맨의 행위는 사용자 동의(consent)와 신뢰 경계(trust-boundary)에 대한 심각한 위반으로 간주됩니다. API 클라이언트가 다른 도구의 기본 워크플로우를 사용자의 명시적인 동의 없이 변경하려 시도하는 것은 데이터 프라이버시와 보안에 대한 우려를 증폭시킵니다. 개발자들은 자신의 작업 환경에 대한 통제권을 상실하고, 민감한 API 데이터가 의도치 않게 AI 플러그인을 통해 처리될 수 있다는 점에 대해 불안감을 표하고 있습니다. 이는 개발 도구의 핵심 가치인 신뢰성을 훼손하고, 장기적으로는 개발자들의 도구 선택에 큰 영향을 미칠 수 있는 중요한 사건입니다.