인기 API 개발 및 테스트 도구인 포스트맨(Postman)이 사용자 몰래 AI 플러그인을 자동 설치하고, 모든 API 관련 작업을 자사 스킬로 유도하려 했다는 주장이 제기되어 논란이 되고 있습니다. macOS용 포스트맨 12.33.4 버전에서 코덱스(Codex)와 클로드 코드(Claude Code) 플러그인이 사용자 동의 없이 설치되었으며, 이 과정에서 포스트맨이 자체적으로 훅(hook)을 승인하려는 시도까지 있었다는 내용입니다. 이는 개발 도구의 신뢰성과 사용자 데이터 보안에 대한 심각한 우려를 낳고 있습니다.
신고자에 따르면, 오랫동안 사용하지 않던 포스트맨을 실행하자 코덱스의 MCP(Message Control Protocol) 인증 경고와 함께 API 작업을 포스트맨 스킬로 처리하라는 안내가 반복적으로 나타났습니다. 로컬 조사 결과, 사용자 전체에 적용되는 포스트맨 플러그인, 시작 지시 훅, 원격 MCP 연결, 클로드 코드 플러그인, 그리고 별도로 설치된 포스트맨 CLI(Command Line Interface)가 확인되었습니다. 특히 설치 로그에는 'auto-existing-upgrade' 경로를 통해 플러그인 설치가 성공했다고 기록되어 있으며, 코덱스 설정 파일에는 포스트맨 마켓플레이스와 플러그인 활성화 설정이 추가되고 훅의 신뢰 해시(trusted_hash)까지 기록된 것으로 드러났습니다. 이러한 훅은 사용자의 명시적인 포스트맨 요청뿐 아니라 일반적인 API 설계, 구현, 테스트 등 광범위한 작업에서 'postman:api-engineer' 스킬을 먼저 불러오도록 지시하고 있었습니다.
이번 사건은 단순히 기능 추가를 넘어 사용자의 명시적 동의 없이 시스템 설정을 변경하고, 다른 코딩 도구의 기본 작업 흐름을 침해하려 했다는 점에서 심각하게 받아들여지고 있습니다. 개발자 커뮤니티에서는 포스트맨이 초기 가볍고 유용한 도구에서 벗어나 과도한 투자 유치 이후 '기업가치 정당화'를 위해 로그인 강제, 데이터 수집, 유료 구독, AI 기능 등을 무리하게 밀어붙이고 있다는 비판이 나오고 있습니다. 이는 많은 개발 도구가 겪는 '비대화(bloat)'와 '수익화 압박'의 전형적인 사례로 지적되며, 브루노(Bruno)와 같은 대안 도구로의 전환 움직임이 가속화될 수 있습니다. 특히 의료 분야에서는 보안팀이 포스트맨 사용 승인을 철회하는 사례까지 발생하여, 기업 환경에서의 신뢰도 하락이 현실화되고 있습니다.