포스트맨 업데이트 뒤 AI 플러그인 자동 설치 제보…시작 지침도 추가

포스트맨(Postman) 데스크톱 앱을 12.35.1로 업데이트한 뒤 클로드 코드와 코덱스에 플러그인이 자동 설치됐다는 제보가 11월 3일 공식 GitHub 지원 이슈에 추가됐다. 기존에 로그인한 맥에서 관찰했다는 사용자 보고다. 작성자는 데이터 업로드를 입증할 증거는 없다고 밝혔다.

포스트맨의 현재 다운로드 페이지는 데스크톱 앱에 CLI와 플러그인이 포함된다고 안내한다. 이 플러그인은 코딩 에이전트가 API를 만들고 시험하는 과정에 포스트맨 도구를 연결한다. 공식 문서에 따르면 작업은 우선 CLI로 처리하고, CLI가 지원하지 않는 작업에는 원격 MCP 서버를 사용한다. 앱의 기능 추가가 함께 쓰는 코딩 도구의 작업 방식에도 영향을 주는 범위다.

새 제보에는 코덱스 플러그인 1.3.0과 시작 지침이 기록됐다. 다만 이번 설정에는 훅 신뢰 승인 기록이 없었다고 한다. 같은 이슈의 최초 보고는 10월 25일 올라왔다. 전체 배포 대상과 영향 범위는 공개 자료로 확인되지 않았다.

시작 지침까지 설치하는 경로

공개 저장소의 당시 설치 코드를 보면 코덱스 플러그인을 등록하고 설치한 다음, 시작 훅의 승인 처리를 호출한다. 훅은 에이전트 세션이 시작될 때 실행하는 동작이다. 설치 프로그램은 이미 있는 플러그인 등록도 확인하고, 업데이트 과정에서 이전 배포 경로를 옮기는 절차를 갖추고 있다. 따라서 플러그인 파일을 내려받는 단계와 세션 동작을 설정하는 단계가 하나의 설치 경로 안에 들어간다. 이 경로는 기존에 등록된 배포 위치를 조회하며, 다른 위치를 사용자가 지정한 경우에는 그 설정을 유지하도록 한다.

승인 코드에는 현재 훅의 식별값과 신뢰 상태를 읽고, 지침 파일이 존재하는지 확인한 뒤 승인 상태를 쓰는 로직이 있다. 그 사이 내용이 바뀌면 처리를 멈추며 이미 신뢰된 훅은 그대로 둔다. 해당 코덱스 API를 사용할 수 없을 때는 이 단계를 건너뛰고 설치를 계속한다. 코드로 확인되는 것은 이런 승인 시도와 조건이며, 실제 적용 결과는 설치 환경에 따라 달라진다. 승인 대상으로 찾는 것도 포스트맨의 시작 훅이다. 다른 플러그인의 훅을 일괄 승인하는 절차로 범위를 넓혀 해석할 수는 없다.

시작 지침은 API 설계·구현·테스트·문서화 등 상당한 작업에 앞서 포스트맨의 API 엔지니어링 스킬을 불러오도록 에이전트에 요구한다. 단순한 질문과 사소한 한 줄 수정에는 예외를 둔다. 사용자가 특정 스킬을 지정한 경우에는 그 경로를 쓰도록 하며, 명시적인 사용자 지시와 프로젝트 지침을 우선한다고 적었다. 지침이 다루는 작업 범위와 우선순위가 함께 명시돼 있다.

로컬 작업과 서버 전송의 조건

포스트맨은 로컬 작업에는 계정이 필요 없고, 워크스페이스 동기화나 모의 서버의 클라우드 배포에는 먼저 로그인을 요청한다고 설명한다. 에이전트가 만드는 API 요청 모음과 테스트 파일은 프로젝트 코드와 함께 검토하고 커밋할 수 있다. 원격 MCP 서버에는 계정이 필요하며 미국 원격 서버는 OAuth를 지원한다. EU 원격 서버와 로컬 MCP 서버는 API 키 인증을 사용한다.

데이터가 서버에 남는 조건도 공개돼 있다. 저장소 설명에 따르면 로컬 폴더를 포스트맨 워크스페이스에 연결한 뒤에는 실행 결과, 린트 결과, 요청 활동 등이 생성될 때 게시된다. 명령별 보고 옵션으로 이 동작을 바꿀 수 있다. 원격 MCP 호출은 포스트맨 서버에 도달하고, CLI의 보고 옵션과 별도로 처리된다. 플러그인 설치 여부와 실제 수행한 명령·인증·연결 상태를 함께 봐야 전송 범위를 판단할 수 있다.

현재 공식 설치 문서는 통합 설치 프로그램이 코덱스의 시작 훅을 대신 승인하며, 승인할 수 없으면 코덱스 안에서 검토하라고 안내한다고 명시한다. 코덱스 자체 방식으로 수동 설치하면 사용자가 직접 훅을 검토·승인한다. 스킬과 MCP 서버는 훅 승인 여부와 관계없이 작동한다고 설명한다. 문서상 통합 설치는 기본적으로 감지한 에이전트 전체를 대상으로 한다. 통합 설치에는 설치·제거 확인 절차와 변경 없이 대상을 확인하는 미리보기 기능이 있다. 문서는 설치 대상 에이전트를 지정하거나 설치 상태를 조회하고 플러그인을 제거하는 기능도 제공한다.