El cliente de APIs Postman ha sido señalado por instalar automáticamente plugins de inteligencia artificial, como Codex y Claude, en sistemas Mac sin una autorización clara por parte de los usuarios. Según un reporte detallado en un repositorio oficial de GitHub, estas instalaciones incluyen modificaciones en configuraciones de agentes de código y la creación de conexiones remotas no solicitadas.
Instalación automática y modificaciones en agentes de código
De acuerdo con la investigación publicada en GitHub, la versión 12.33.4 de Postman para escritorio, junto con los plugins Codex 1.1.0 y Claude 2.0.1, realiza cambios en la configuración global del usuario. Esto incluye la inserción de un hook de inicio que redirige tareas de ingeniería de APIs para que se ejecuten mediante las habilidades de Postman, sin que el usuario haya solicitado explícitamente esta acción.
Aprobación automática de hooks y conexiones remotas
El instalador de Postman también intenta aprobar automáticamente su propio hook de inicio, lo que representa un problema de confianza y consentimiento. Además, se habilita una conexión remota a un servidor MCP alojado en mcp.postman.com sin una autenticación funcional, lo que genera inquietudes sobre la seguridad y privacidad de los datos manejados.
Te puede interesar
Estados UnidosMicrosoft amplía Imagine Cup a startups y modifica reglas para reflejar su nueva estrategia en IAMicrosoft ha abierto su concurso Imagine Cup, tradicionalmente para estudiantes, a startups cuyos fundadores no estén en…Leer la nota Impacto y reacciones de la comunidad
Usuarios afectados han reportado advertencias recurrentes de autenticación MCP y la redirección constante de trabajo API a través de las habilidades de Postman. Algunos miembros de la comunidad han comparado estas prácticas con comportamientos propios de malware, y han recomendado alternativas libres y de código abierto como Insomnia.
Contexto y antecedentes
Postman es una herramienta ampliamente utilizada para el desarrollo y prueba de APIs. Sin embargo, la instalación automática de plugins y la modificación de configuraciones sin consentimiento explícito representan un riesgo en entornos corporativos y personales. El reporte fue publicado el 25 de octubre de 2026 y evidencia que la actualización se ejecutó sin conocimiento previo de los usuarios, quienes además han detectado intentos de la empresa por modificar contenidos web para evadir responsabilidades.
Próximos pasos y recomendaciones
Ante esta situación, se recomienda a los usuarios revisar las configuraciones de sus instalaciones de Postman y considerar la desinstalación manual de los plugins no autorizados. La comunidad tecnológica permanece atenta a las respuestas oficiales de Postman y a posibles actualizaciones que aclaren o corrijan estos comportamientos.
