[Hacker News 요약] Postman, 사용자 동의 없이 AI 플러그인 자동 설치 및 API 데이터 공유 시도 논란
0
설명
Postman 데스크톱 애플리케이션이 사용자 동의 없이 Codex 및 Claude AI 플러그인을 자동으로 설치하고, API 데이터를 공유하려 했다는 심각한 문제가 제기되었습니다.
2026년 10월 25일 GitHub 이슈 트래커에 보고된 이 사건은 API 개발 도구의 신뢰성과 사용자 데이터 보호에 대한 중대한 우려를 낳고 있습니다.
이번 사태는 개발자 커뮤니티에 큰 파장을 일으키며, 도구 선택 및 보안에 대한 재고를 촉구하고 있습니다.
### 배경 설명
Postman은 API 개발 및 테스트를 위한 사실상의 표준 도구로 자리 잡았습니다. 개발자들은 Postman을 통해 API 요청을 생성, 전송, 검증하고 협업합니다. 최근 몇 년간 AI 기술이 개발 워크플로우에 통합되면서, Postman 역시 AI 기능을 도입하여 생산성 향상을 도모해왔습니다. 특히 Codex와 Claude와 같은 AI 모델은 코드 생성, API 문서화, 테스트 케이스 작성 등 다양한 영역에서 개발자를 지원할 잠재력을 가지고 있습니다.
그러나 이번 사건은 이러한 AI 통합 과정에서 발생한 심각한 보안 및 개인정보 침해 가능성을 드러냈습니다. 사용자가 명시적으로 동의하지 않은 상태에서 플러그인이 설치되고, 심지어 다른 AI 도구의 작동 방식을 변경하려는 시도가 있었다는 점은 API 개발 도구의 신뢰성에 근본적인 의문을 제기합니다. 이러한 자동화된 통합은 개발자의 워크플로우를 개선하기보다는 오히려 통제 불가능한 상황을 초래할 수 있으며, 민감한 API 데이터가 의도치 않게 노출될 위험을 내포하고 있습니다. 특히, Postman이 자체 설치 프로그램을 통해 다른 애플리케이션의 시작 시 실행되는 훅(hook)을 신뢰하도록 시도했다는 점은 사용자 동의 절차의 부재와 함께 심각한 보안 경계를 넘었다는 비판을 받고 있습니다.
### 자동 설치 및 설정 변경 정황
문제는 2026년 10월 25일, 한 사용자가 Postman 데스크톱 애플리케이션(버전 12.33.4)을 실행한 후 겪은 경험을 GitHub 이슈 트래커에 보고하면서 수면 위로 떠올랐습니다. 해당 사용자는 Postman을 열자마자 자신의 Mac 환경에서 Codex 및 Claude AI 플러그인이 자동으로 설치되었으며, Codex의 전역 사용자 설정이 변경되어 API 작업이 Postman 스킬을 통해 라우팅되도록 구성되었다고 밝혔습니다. Postman의 로그 파일(`~/Library/Application Support/Postman/logs/main.log`)에는 `auto-existing-upgrade`라는 소스로 `claude-code:installed`, `codex:installed` 결과가 기록되어 있으며, 설치 프로그램이 자체 시작 훅을 신뢰하도록 시도한 정황도 포착되었습니다. 또한, `~/.codex/config.toml` 파일의 `[marketplaces.postman]` 섹션에서 Postman 플러그인 저장소 URL(`https://github.com/postmanlabs/postman-plugin.git`)이 명시되어 있었고, `~/.claude/settings.json`에서도 Postman 관련 설정이 활성화된 것으로 확인되었습니다. 이러한 일련의 과정은 사용자의 명시적인 동의 없이 진행된 것으로 보입니다.
### AI 도구 간의 의도치 않은 통합 및 제어권 변경
이번 사건의 핵심은 Postman이 다른 AI 도구의 작동 방식을 변경하려 했다는 점입니다. Codex의 경우, 설치된 훅(`hooks/codex-hooks.json`)은 API 엔지니어링 작업(설계, 구현, 테스트, 모니터링, 문서화, 배포 등)을 수행하기 전에 `postman:api-engineer` 스킬을 로드하고 따르도록 지시합니다. 이는 사용자가 명시적으로 Postman 사용을 요청하지 않았음에도 불구하고, 광범위한 API 관련 작업을 Postman의 워크플로우 안으로 끌어들이려는 시도로 해석됩니다. 또한, 설치 프로그램(`installer/src/hosts/codex.ts` 및 `installer/src/hosts/codex-hooks.ts`)은 플러그인 설치 후 자체 훅을 승인하는 절차를 포함하고 있었으며, 이는 사용자 개입 없이 시스템의 신뢰 설정을 변경하려는 의도로 볼 수 있습니다. 원격 MCP(Managed Cloud Platform) 연결도 인증되지 않은 상태에서 활성화되었으며, 이는 `https://mcp.postman.com/mcp`로 연결을 시도했으나 `Auth required` 오류를 반환했습니다. 이러한 통합은 개발자의 작업 흐름을 개선하기보다는, 오히려 개발자가 통제할 수 없는 방식으로 AI 도구 간의 상호작용을 강제하려는 시도로 비춰질 수 있습니다.
### 사용자 반응 및 보안 우려
이슈가 공개된 후, 개발자 커뮤니티에서는 Postman의 행위에 대한 강한 비판과 우려가 쏟아졌습니다. 많은 사용자는 이를 '악성코드'에 비유하며, Postman이 사용자 동의 없이 시스템 설정을 변경하고 민감한 데이터를 공유하려 했다는 점에 대해 심각한 보안 및 개인정보 침해로 간주했습니다. 일부 사용자는 Postman을 '바이러스'에 비유하며 즉각적인 제거를 권고하기도 했습니다. 또한, Postman이 문제 제기 이후 웹사이트의 관련 내용을 수정하려는 시도를 했다는 의혹도 제기되었습니다. Wayback Machine의 2026년 10월 26일 스냅샷을 보면, 해당 내용이 없었음을 확인할 수 있어 Postman의 책임 회피 시도에 대한 비판이 더욱 거세졌습니다. 개발자들은 명확한 옵트인(opt-in) 절차 없이 이루어진 자동 설치 및 설정 변경이 심각한 신뢰 위반이며, 기업 환경에서는 더 큰 보안 위험을 초래할 수 있다고 지적했습니다. 이에 따라, Postman은 즉각적인 사용자 동의 없는 플러그인/CLI 자동 설치 중단, 훅에 대한 사용자 결정권 보장, 그리고 자동화된 통합의 범위와 동의 흐름에 대한 명확한 설명 등을 요구받고 있습니다.
### 가치와 인사이트
이번 Postman 사태는 개발 도구의 AI 통합 과정에서 발생할 수 있는 심각한 보안 및 개인정보 보호 문제를 여실히 보여줍니다. 개발자들은 자신이 사용하는 도구가 어떤 권한을 요구하고, 어떤 데이터를 어떻게 처리하는지에 대해 명확히 인지하고 있어야 합니다. Postman과 같은 인기 있는 도구조차 사용자 동의 없이 설정을 변경하고 플러그인을 설치할 수 있다는 사실은, 개발자들에게 도구 선택 및 관리에 있어 더욱 신중해야 함을 시사합니다. 특히, AI 기능이 통합될수록 데이터 프라이버시와 보안에 대한 고려는 더욱 중요해지며, 개발자는 자신의 작업 환경에서 발생하는 모든 변경 사항에 대해 명확한 통제권을 가져야 합니다. 이번 사건은 API 개발 생태계 전반에 걸쳐 투명성과 사용자 동의의 중요성을 다시 한번 강조하는 계기가 되었습니다.
### 기술·메타
- Postman Desktop: 12.33.4
- Codex Postman plugin: 1.1.0
- Claude Code plugin: 2.0.1
- Source revision: 6c8e452e0f4237f4bcc0901cb1ac442dec707e49
- Investigation Date: October 25, 2026
- Log file: ~/Library/Application Support/Postman/logs/main.log
- Codex config: ~/.codex/config.toml
- Claude settings: ~/.claude/settings.json
- Postman plugin repo: https://github.com/postmanlabs/postman-plugin.git
- MCP endpoint: https://mcp.postman.com/mcp
### 향후 전망
Postman은 이번 사건으로 인해 사용자 신뢰도에 큰 타격을 입었으며, 향후 제품 개발 및 사용자 정책에 있어 상당한 변화가 불가피할 것으로 보입니다. 가장 시급한 과제는 사용자 신뢰를 회복하는 것입니다. 이를 위해 Postman은 ▲모든 AI 관련 기능에 대한 명확하고 강제적인 옵트인(opt-in) 절차 도입 ▲자동 설치 및 설정 변경 기능에 대한 전면적인 재검토 및 사용자 통제권 강화 ▲데이터 처리 및 공유 정책에 대한 투명한 공개 ▲과거의 잘못된 행위에 대한 진정성 있는 사과 및 재발 방지 대책 마련 등이 필요합니다. 경쟁사인 Insomnia, Bruno 등은 이미 오픈소스 및 명확한 사용자 정책을 강점으로 내세우고 있어, Postman의 시장 점유율에 영향을 미칠 수 있습니다. 또한, 개발자 커뮤니티의 지속적인 감시와 피드백은 Postman이 향후 투명하고 안전한 제품을 개발하도록 압박하는 중요한 요소가 될 것입니다. Postman이 이번 위기를 어떻게 극복하느냐에 따라 API 개발 도구 시장의 판도가 달라질 수 있습니다.
📝 원문 및 참고
- Source: Hacker News
- 토론(HN): [news.ycombinator.com](https://news.ycombinator.com/item?id=50354960)
- 원문: [링크 열기](https://github.com/postmanlabs/postman-app-support/issues/14370)
---
출처: Hacker News · [원문 링크](https://github.com/postmanlabs/postman-app-support/issues/14370)
이 글에 대한 한 줄 의견
신고 · 불법·유해·아동 안전(CSAE) 관련 콘텐츠
댓글 0
아직 댓글이 없습니다. 로그인하면 바로 의견을 남길 수 있습니다.