【ITニュース解説】Postman, Claude Code, and the Plugin You Never Installed

最近、開発ツールの世界で、ソフトウェアのアップデートに関する重要な懸念が報じられた。人気のあるAPI開発ツールであるPostmanがバージョン12.33.4に更新された際、ユーザーの明示的な同意なしに、PostmanプラグインがClaude CodeとCodexという二つのAIコーディングエージェントに自動的にインストールされ、さらにその起動フックが「信頼済み」として登録されたという報告があった。この事態は、システムエンジニアを目指す上で重要な教訓を含んでいる。

この問題は、2026年10月25日にGitHubのイシューとして提起され、開発者の間で大きな注目を集めた。報告によると、Postmanのインストーラーログ自体に「自動既存アップグレード」という記述とともに、Claude CodeとCodexへのプラグインインストールが記録されていた。具体的にユーザーのマシンで確認された変更点は三つある。一つは、AIコーディングエージェントであるCodexの設定ファイル（~/.codex/config.toml）にPostmanプラグインのマーケットプレイスエントリが追加されたこと。次に、そのマーケットプレイスで postman@postman というPostmanプラグインが有効な状態になっていたこと。そして最も懸念されるのは、エージェントのフック設定にPostmanのフックが「信頼済みハッシュ」として記録され、このフックがユーザーの確認なしに実行されるようになっていた点だ。この「SessionStartフック」は、エージェントがセッションを開始する前に自動的にロードされ、「非自明なAPIエンジニアリングタスク」の前に postman:api-engineer というスキルを読み込むよう指示するとされている。これは、エージェントのAPI関連の処理が、Postmanのツールに誘導される可能性を示唆する。

なぜこのような「静かな」プラグインのインストールがこれほどまでに問題となるのか。通常のテキストエディタのプラグインは単なる機能追加だが、AIコーディングエージェントのプラグインは、そのエージェントの振る舞いを根本的に変更する可能性があるという点で大きく異なる。SessionStartフックは、ユーザーが何かを入力する前に実行されるため、ユーザーが気付かないうちにエージェントの挙動が変わってしまう。特に、特定のベンダーのスキルがロードされることで、エージェントが行うAPI関連の意思決定がそのツールに偏る可能性がある。また、「信頼済み」レコードは、意図しない変更を防ぐためにユーザーの同意を求めるための仕組みだが、それが自動的に書き込まれることで、ユーザーが変更を拒否する機会が完全に失われる。この事例は、一般的なデスクトップアプリが日常的なアップデートの過程でAIコーディングエージェントの振る舞いを変更できるという前例を作ってしまうことを意味し、エージェントの信頼境界が曖昧になるという、より大きな問題を示唆している。

自身のマシンがこの影響を受けているかを確認する方法は比較的簡単だ。特別なツールは不要で、ターミナルを開き、いくつかのコマンドを実行することでチェックできる。例えば、ls ~/.claude/plugins/ でプラグインディレクトリを確認したり、grep -ri "postman" ~/.claude/settings.json や grep -n -i "postman" ~/.codex/config.toml などで設定ファイル内にPostman関連のエントリがないか検索する。これらのコマンドで何も表示されなければ、あなたのマシンは影響を受けていない可能性が高い。もし config.toml の中にマーケットプレイス、postman@postman プラグイン、または trusted_hash エントリといった記述が見つかれば、それはこの報告で指摘されたパターンに合致する。

もし影響を受けていることが判明した場合、修正は可能だ。まず、設定ファイルをバックアップすることが極めて重要である。例えば cp ~/.codex/config.toml ~/.codex/config.toml.bak のように、元のファイルをコピーしておくことで、いつでも元に戻せる。その後、手動で設定ファイルを編集し、~/.codex/config.toml からPostmanのマーケットプレイスエントリ、postman@postman プラグインの行、およびフックの trusted_hash エントリを削除する。Claude Codeの場合も、インストールされているプラグインをリストアップしてPostmanのものをアンインストールし、~/.claude/settings.json からPostmanのフックエントリがあれば削除する。これらの変更後、両方のエージェントを完全に再起動し、メモリに残っている古い設定が完全にクリアされるようにする。最後に、再度監査コマンドを実行して、Postmanの痕跡が完全に消えたことを確認する。さらに、Postmanアプリ自体の設定も確認し、CLIやエージェントプラグインに関するオプションがあればオフにすることを忘れてはならない。これを怠ると、次のアップデートで再び同じプラグインがインストールされてしまう可能性がある。

この件について、Postman側からは公式な声明はまだないが、GitHubイシューへの非公式な返信によると、CLIおよびエージェントプラグインがバンドルされたのは、ユーザーが個別にインストールするのに苦労したためだとされている。また、ダウンロードページやアップデートフローでバンドルについて言及しており、アプリ内からプラグインをアンインストールできるとも述べている。さらに、今後はオプトインプロセスをより明確にし、フックの承認やセッション開始時の挙動を見直す意向を示している。しかし、これは公式な検証済み声明ではなく、特に「信頼済みフック記録の自動書き込み」が意図的なものだったかについては触れられていない点に留意する必要がある。なお、元のイシューには、APIキーや機密データが外部に送信されたという証拠は一切含まれていない。ソーシャルメディアなどで広がる「PostmanがすべてのAPIデータを共有している」といった主張は、報告書自体には明記されていない未確認情報であり、事実ではない。

このような問題の再発を防ぐためには、いくつかの対策を講じることが重要である。まず、すべてのアプリのアップデート後に定期的な監査を行う習慣をつけるべきだ。上で紹介したチェックは、Postmanだけでなく、あなたのコーディングツールと連携する他のアプリのアップデート後にも行う価値がある。次に、AIエージェントの設定ファイルをバージョン管理下に置くことを強く推奨する。例えばGitリポジトリで ~/.claude や ~/.codex の設定を管理することで、静かな変更も差分としてすぐに可視化され、予期せぬ変更に迅速に気付くことができる。また、フックの承認はセキュリティ上の意思決定として真剣に捉えるべきだ。あなたが要求していないフックは決して承認せず、SSHキーを確認するように、定期的に信頼済みリストをレビューする必要がある。さらに、エージェントに与えるAPIキーの権限は必要最小限に限定することが肝要だ。そして、プラグインは明示的にインストールすることを原則とするべきだ。

この問題から得られるより深い教訓は、Postmanという特定のツールに関するものだけではない。AIコーディングエージェントは、「マシンにインストールされたソフトウェア」と「あなたの代理として動作するソフトウェア」との間の距離を劇的に縮める存在だ。エージェントツールがプラグインのインストールやフックの承認を、ブラウザ拡張機能の権限やオペレーティングシステムの権限と同じくらい真剣に扱うようになるまで、今回紹介したような設定ファイルの監査は、基本的な衛生管理の一部として常に行うべきである。これは、PCの起動時に何が実行されているかを確認するのと同じくらい基本的なことであり、システムエンジニアを目指す上で常に意識すべきセキュリティ対策の一つだ。