Postman riserva ai suoi utenti una frase in una pagina di download. Ai loro assistenti AI per la programmazione invia un mandato contrassegnato «EXTREMELY_IMPORTANT»

Il software ha sempre scritto per le persone: programmi di installazione, richieste di autorizzazione, note di rilascio. Una segnalazione su Postman, un’app molto diffusa per provare le API web, mostra che c’è anche un secondo lettore. Quando l’app si installa nell’assistente AI con cui uno sviluppatore scrive codice, si rivolge direttamente all’assistente, e i due messaggi, quello per la persona e quello per la macchina, non sono scritti con la stessa enfasi.

Il 25 ottobre l’utente GitHub che si firma indicava ha aperto la segnalazione 14370 nel repository di assistenza di Postman, intitolata «[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook», cioè l’app desktop installa da sola i plugin per Codex e Claude e l’installatore cerca di far risultare attendibile il proprio hook di avvio. Il 24 ottobre il registro di Postman 12.33.4 sul suo Mac ha annotato un’installazione con origine «auto-existing-upgrade» e risultati «claude-code:installed» e «codex:installed». Il 3 novembre un secondo utente, ronthedrummer, ha descritto la stessa sequenza quando l’app si è aggiornata da sola dalla 12.31.3 alla 12.35.1: sono stati installati lo strumento a riga di comando di Postman e i plugin per Claude Code e Codex, mentre Cursor aveva già il plugin. Sono due segnalazioni, ciascuna relativa a un solo Mac. Non abbiamo installato Postman per riprodurle.

Il plugin è open source, quindi il testo che ricevono gli assistenti si può leggere. Il file hooks/session-start-context.md si apre con l’etichetta <EXTREMELY_IMPORTANT> e prosegue: «You have the Postman plugin. Before responding to any non-trivial API engineering task […] load the postman:api-engineer skill and follow it», cioè: hai il plugin di Postman; prima di rispondere a qualsiasi compito non banale di ingegneria delle API, carica la skill postman:api-engineer e seguila. Un hook lo stampa quando una sessione si avvia, viene azzerata o viene compattata. Lo script che se ne occupa, nella sua descrizione, dice di stampare «the session-start mandate», il mandato di inizio sessione, e gli sviluppatori usano la stessa parola nei loro commit: il 20 ottobre una correzione per Copilot CLI di GitHub si intitolava «deliver the session-start mandate», consegnare il mandato di inizio sessione, perché Copilot scartava il testo semplice, e aggiungeva ai test automatici una verifica che il testo arrivi davvero a destinazione. L’installatore ha codice separato per nove assistenti: Antigravity, Claude Code, Codex, Copilot CLI, Cursor, Factory Droid, Kimi Code, OpenCode e Pi.

Il testo, di per sé, non è nascosto e non è privo di limiti. Esclude le semplici domande e le modifiche banali di una riga, e la sua ultima riga dice che le istruzioni dell’utente, nei file di progetto come AGENTS.md o CLAUDE.md o nelle richieste dirette, prevalgono su «this mandate», questo mandato. È nel repository dal 21 settembre, e chi installa il plugin di proposito riceve le stesse parole. Ciò che le due segnalazioni contestano è chi abbia deciso di sottoporle ai loro assistenti.

Codex, l’assistente per la programmazione di OpenAI, di norma chiede all’utente di approvare l’hook di un plugin prima di eseguirlo; un commit di Postman osserva che, finché l’utente non lo faceva, «the mandate was missing», il mandato mancava. Il README del plugin dice che per Codex «installation also approves Postman’s session-start hook», cioè l’installazione approva anche l’hook di inizio sessione di Postman, e che «there is no separate hook prompt», non c’è una richiesta di conferma a parte. Il codice che se ne occupa è stato aggiunto il 21 ottobre con un commit intitolato «auto-approve Postman’s Codex hook»: una funzione chiamata approvePostmanHook scrive nelle impostazioni di Codex l’hash dell’hook, contrassegnato come attendibile. Sul primo Mac un record di attendibilità c’è, anche se chi ha aperto la segnalazione scrive che questo, da solo, non dimostra chi lo abbia creato. Sul secondo non c’è, e l’utente dice di non aver verificato se l’hook sia stato eseguito in Codex. In Cursor, scrive, lo stesso testo viene inserito nelle sessioni dell’agente.

Per le persone l’avviso è più breve. Il 3 novembre alle 23:36 UTC, le 00:36 del 4 novembre in Italia, l’account zecoquit ha pubblicato nella segnalazione una risposta in cui si legge che Postman include la propria CLI e i plugin per gli agenti nell’app desktop e che «We mention this on the download page and in the app update flow», cioè che lo segnala nella pagina di download e nella procedura di aggiornamento dell’app. La risposta promette inoltre di rendere più chiara la scelta esplicita di attivarli, «especially for existing users», soprattutto per chi usa già l’app, e dice che l’approvazione dell’hook e il comportamento all’inizio della sessione sono in corso di revisione. È scritta come una dichiarazione di Postman, ma il profilo dell’account non indica alcun datore di lavoro e GitHub non lo segna come membro o collaboratore del repository, quindi non possiamo confermare che parli a nome della società. Oggi la pagina di download di Postman dice: «The Postman app includes Postman CLI & Postman plugins, so you can use Postman from your terminal», cioè l’app include la CLI e i plugin di Postman. Nella copia della stessa pagina salvata dall’Internet Archive il 26 ottobre alle 09:07 UTC, due giorni dopo la prima installazione registrata, quella frase non c’è. Lo aveva già fatto notare uno dei commenti alla segnalazione; noi abbiamo controllato entrambe le versioni. La procedura di aggiornamento non abbiamo potuto vederla.

Un’affermazione non ha trovato riscontro nelle fonti. Il titolo con cui la segnalazione è comparsa su Hacker News, dove ha raccolto più di 1.000 punti, dice che Postman «attempts to share all API data», cioè che cerca di condividere tutti i dati delle API. Nessuna delle due segnalazioni lo sostiene: la prima precisa di non pretendere di dimostrare una sottrazione di dati, e la seconda si chiude con «I do not have evidence that data was uploaded», non ho prove che siano stati caricati dati. I plugin configurano un collegamento a un server di Postman, mcp.postman.com, che in entrambe le segnalazioni chiedeva ancora l’autenticazione.

Quello che abbiamo verificato si limita al materiale pubblico: il codice del plugin al commit 9d5544f, la sua storia, la segnalazione con i commenti e le due versioni della pagina di download. Non sappiamo quanti utenti abbiano ricevuto l’installazione automatica né quale opzione interna l’abbia attivata: i registri ne citano una senza nominarla. Il materiale mostra però la distanza tra i due avvisi. Quello per le persone è una frase in una pagina che chi usa già l’app non ha bisogno di aprire quando l’app si aggiorna. Quello per la macchina arriva all’inizio di ogni sessione, contrassegnato come estremamente importante, e la sua consegna viene controllata assistente per assistente.