משתמשי Postman בישראל, שימו לב: גרסה 12.33.4 מתקינה בשקט תוספים ל-Codex ול-Claude Code ברגע ההפעלה, ומוסיפה hook שמנתב כל עבודת API דרך Postman skills. אם Postman רץ אצלכם על אותה מכונה שבה יושבים סוכני הקוד, פתחו את ~/.codex/config.toml ו-~/.claude/settings.json, הסירו את התוסף postman@postman ובטלו את רשומת ה-MCP של mcp.postman.com.
לפי מעקב התקלות של Postman עצמה, אפליקציית הדסקטופ רשמה בלוג "claude-code:installed, codex:installed" במהלך שדרוג אוטומטי, והחדירה הוראת מערכת שאומרת לסוכן לטעון את ה-skill בשם postman:api-engineer לפני כל משימת API. בנוסף, המתקין ניסה לסמן את ה-hook של עצמו כמהימן בהגדרות Codex, ובאותה חותמת זמן נחת גם Postman CLI בתיקיית ~/.local/bin.
מה זה אומר לעסק קטן בישראל
פייפליין טיפוסי של מרפאה, משרד עורכי דין, חנות או סדנה - קליטת לידים, OCR לחשבוניות, בוט מחסן, ניתוח מכרזים - מחזיק מפתחות API ל-CRM, לבנק ולווטסאפ על אותה תחנת עבודה שבה רצים Codex או Claude Code. כלי שמחדיר בשקט הוראה "נתב את עבודת ה-API דרך הפלטפורמה שלנו" לתוך הסוכן שלכם הוא ערוץ פוטנציאלי להדלפת credentials ותוכן בקשות, גם אם עדיין שום דבר לא דלף בפועל. אם בניתם משהו כמו פייפליין לניתוח מכרזים, הצמידו את Postman לגרסה שלפני 12.33 במכונות שנוגעות באינטגרציות ייצור, ועברו על כל כלי פיתוח שהותקן בחודש האחרון כדי לוודא שהוא לא כותב להגדרות הסוכן.
למה זה חשוב: סיכון שרשרת האספקה כבר יושב בתוך קבצי התצורה של סוכן ה-AI שלכם, ועדכון שקט אחד יכול לשנות את האופן שבו העוזר שלכם עונה על כל שאלת API.
מקור: Hacker News