جنجال پستمن؛ نصب پنهانی پلاگین‌های هوش مصنوعی و تلاش برای تغییر ابزارهای توسعه‌دهندگان

در روزهای اخیر، ثبت یک گزارش جنجالی در مخزن گیت‌هاب Postman App Support سر و صدای زیادی به پا کرده است. ماجرا از این قرار است که کاربران متوجه شدند با باز کردن اپلیکیشن دسکتاپ Postman روی مک‌بوک، این نرم‌افزار به صورت کاملاً خودکار و بدون هیچ‌گونه هشدار یا درخواست اجازه، پلاگین‌های هوش مصنوعی مرتبط با ابزارهایی مانند Claude Code و Codex را روی سیستم نصب کرده و حتی تلاش کرده است تا هوک‌های استارت‌آپ آن‌ها را به نفع خود دستکاری کند.

ماجرای از چه قرار است؟

بر اساس جزئیات منتشرشده در این Issue، کلاینت دسکتاپ Postman پس از آپدیت، اسکریپت‌هایی را اجرا کرده که به طور خودکار ابزارهای کمکی خود را در تنظیمات گلوبال ابزارهای هوش مصنوعی کاربران تزریق کرده‌اند. این اسکریپت‌ها حتی تلاش کرده‌اند مجوزهای امنیتی لازم (Trusted Hash) را برای هوک‌های خود صادر کنند تا ایجنت‌های هوش مصنوعی در زمان انجام کارهای مرتبط با API، به جای ابزارهای دیگر به سراغ پستمن بروند.

بسیاری از توسعه‌دهندگان این رفتار را نقض آشکار حریم خصوصی، عبور از مرزهای اعتماد و مشابه رفتارهای بدافزاری توصیف کرده‌اند. این در حالی است که پستمن تلاش کرده با اضافه کردن قابلیت‌های مبتنی بر هوک و پروتکل MCP (Model Context Protocol)، خود را به عنوان ابزار پیش‌فرض در چرخه کاری توسعه‌دهندگان جای دهد.

درباره پروژه Postman

مخزن postmanlabs/postman-app-support صفحه رسمی پیگیری مشکلات و درخواست‌های کاربران برای پلتفرم Postman است. پستمن سال‌ها پیش به عنوان یک ابزار سبک، محبوب و سبک‌وزن (ابتدا به شکل یک افزونه ساده برای کروم) برای تست درخواست‌های HTTP و کار با APIها متولد شد. این پلتفرم امروزه توسط تیم postmanlabs توسعه داده می‌شود و ستاره‌های آن در گیت‌هاب از مرز ۶ هزارتا عبور کرده است. با این حال، طی سال‌های اخیر سیر تحولی این ابزار و تبدیل شدن آن به یک نرم‌افزار سنگین مبتنی بر اکانت، ابزارهای کلاد و قابلیت‌های تجاری، انتقادات زیادی را به همراه داشته است.

چرا این موضوع در هکرنیوز داغ شد؟

جامعه توسعه‌دهندگان در هکرنیوز و گیت‌هاب به شدت نسبت به این آپدیت واکنش نشان دادند. نکات کلیدی مطرح‌شده در بحث‌ها شامل موارد زیر است:

• نقض مرزهای اعتماد: نصب خودکار ابزار در محیط کاری دیگر نرم‌افزارها بدون رضایت صریح کاربر (Opt-in).
• روند نزولی پستمن: بسیاری از کاربران از تبدیل شدن یک ابزار سبک توسعه‌دهنده به یک پلتفرم سنگین، پر از پاپ‌آپ، اجبار به لاگین و ویژگی‌های ناخواسته انتقاد کردند.
• معرفی جایگزین‌ها: کاربران در هکرنیوز بار دیگر ابزارهای جایگزین و سبکی مانند Bruno را پیشنهاد دادند که برخلاف پستمن، فایل‌های کانفیگ و درخواست‌ها را مستقیماً درون ریپازیتوری Git ذخیره می‌کنند و نیازی به پلتفرم‌های ابری و حساب‌های کاربری اجباری ندارند.

در یک نگاه

• نام پروژه: Postman App Support
• مخزن: postmanlabs/postman-app-support
• حوزه فعالیت: پلتفرم توسعه و تست API
• مشکل اصلی گزارش‌شده: نصب خودکار و پنهانی پلاگین‌های هوش مصنوعی (Codex و Claude) و دستکاری تنظیمات ایجنت‌های توسعه‌دهندگان بدون اجازه
• وضعیت در جامعه: واکنش منفی شدید توسعه‌دهندگان و درخواست برای بازگشت به رفتارهای شفاف و امنیتی

این اتفاق بار دیگر زنگ خطر را برای ابزارهایی به صدا درآورده که با جذب سرمایه‌های کلان، ناچارند برای توجیه ارزش‌گذاری خود، ویژگی‌های تجاری و هوش مصنوعی را به زور وارد جریان کاری روزمره توسعه‌دهندگان کنند.