Postman İzinsiz AI Eklentisi Kuruyor mu? Olayın İçyüzü

Bir geliştirici Mac'inde Postman'ı açıyor, birkaç dakika sonra kod asistanı tuhaf davranmaya başlıyor. Codex, API isteklerini tekrar tekrar Postman üzerinden geçirmeye çalışıyor, ekranda durmadan MCP kimlik doğrulama uyarıları çıkıyor. Geliştirici araştırmaya başladığında karşısına çıkan tablo basit bir hata değil, kurulum sırasında sessizce eklenmiş bir dizi entegrasyon oluyor.

Konu GitHub üzerinde açılan bir bildirimle gündeme geldi ve Hacker News'te kısa sürede 200 puanın üzerinde etkileşim topladı. Bildirimi açan kişi, kurulu bulduğu bir Postman eklentisini, bir başlangıç talimat kancasını, uzak bir MCP bağlantısını, bir Claude Code eklentisini ve ayrıca sisteme yerleşmiş bir Postman CLI aracını tek tek belgelemiş.

Postman kurulumunda tam olarak ne bulundu

Rapor, Postman masaüstü sürümü 12.33.4 ile Codex eklentisi 1.1.0 üzerinde 25 Ekim 2026 tarihinde yapılan bir incelemeye dayanıyor. Bulgulara göre kurulum sırasında ~/.codex/config.toml dosyasına bir oturum başlangıç kancası ekleniyor. Bu kanca, önemsiz olmayan her API görevinde Postman'ın kendi beceri setinin otomatik yüklenmesini talimatlandırıyor: "API görevlerine yanıt vermeden önce postman:api-engineer becerisini yükle ve ona uy."

Asıl dikkat çeken nokta ise kurulumun kendi kendini onaylaması. installer/src/hosts/codex-hooks.ts dosyasındaki koda göre eklenti, kendi kancasının karma değerini hesaplayıp doğrudan güvenilir kanca listesine yazıyor. Kod yorumunda bu işlem "yalnızca Postman'ın mevcut kancasını onaylar" ifadesiyle geçiştirilmiş. Raporu hazırlayan kişi bu onay kaydının kim tarafından tetiklendiğinin kanıtlanamadığını, yalnızca böyle bir girişimin iz bıraktığını özellikle vurguluyor.

mcp.codex.json dosyasının https://mcp.postman.com/mcp adresine yönlendirdiği, Claude Code tarafında ise ~/.claude/settings.json içinde postman@claude-plugins-official eklentisinin etkinleştirildiği belirtiliyor. Ayrıca ~/.local/bin altında kurulum penceresiyle eşleşen zaman damgalı bir Postman çalıştırılabilir dosyası ve kütüphane klasörü bulunmuş.

Veri paylaşımı iddiası henüz kanıtlanmış değil

Başlıkta sık geçen "veri paylaşma" iddiası, raporun kendi metninde temkinli bir dille sınırlandırılmış. Yazar, özel yolları, ilgisiz logları, hesap kimliklerini ve kimlik bilgilerini incelemeden hariç tuttuğunu belirtiyor. Ortaya koyduğu şey istenmeyen entegrasyon ve talimat değişiklikleri; veri sızıntısını kanıtladığını iddia etmiyor.

Yorum bölümünde bazı kullanıcılar Postman'ın indirme sayfası içeriğini sonradan değiştirmeye çalıştığını öne sürdü. Wayback Machine'deki 26 Ekim 2026 tarihli son kayıtta böyle bir içeriğe rastlanmadığı aktarılıyor, ancak bu da üçüncü taraf gözlemi olmaktan öteye geçmiyor. Postman'ın konuya resmi açıklama yapıp yapmadığı bildirim anında netleşmemişti; bazı kullanıcılar şirketin Discord üzerinden gelen soruları ciddiye almadığını iddia etti.

Yazılım ekipleri bu olaydan ne öğrenmeli

API testi ve geliştirme sürecinde Postman gibi araçları günlük iş akışının merkezine koyan ekipler için bu olay doğrudan bir uyarı niteliği taşıyor. Bir masaüstü uygulamasının kurulum veya güncelleme sırasında başka araçların, kod asistanlarının, CLI araçlarının, MCP bağlantılarının ayarlarını kendi başına değiştirebilmesi, kurumsal ortamdaki onay süreçlerinin dışına çıkan bir davranış. IT ve güvenlik ekiplerinin geliştirici makinelerinde çalışan üçüncü parti araçların hangi dosyalara yazma izni olduğunu ve hangi ağ bağlantılarını otomatik kurduğunu periyodik olarak denetlemesi gerekiyor.

Biz SUNS Tech olarak yazılım danışmanlığı projelerimizde sık karşılaştığımız bir durum var: ekipler geliştirici araç zincirini kurarken her bileşenin varsayılan ayarlarını tek tek incelemeden hızlıca kurup kullanmaya başlıyor. Bir API istemcisinin kod asistanınızın davranışını değiştirmesi, yetkilendirme sınırlarının net çizilmediği bir ortamda ciddi bir güven sorunu yaratır. Bu konuda destek almak isterseniz yazılım danışmanlığı hizmetimiz kapsamında geliştirici araç setinizin güvenlik ve izin yapılandırmasını birlikte gözden geçirebiliriz.

Bireysel geliştiriciler için kontrol listesi

Serbest çalışan veya küçük ekip geliştiricileri için konu daha dolaysız bir risk taşıyor. Tek bir uygulama güncellemesiyle kod asistanınızın hangi beceri setini yükleyeceği, hangi uzak sunucuya bağlanacağı değişebiliyor. Müşteri projelerinde kullandığınız API anahtarları ve uç noktalar söz konusu olduğunda bu ciddiye alınması gereken bir durum.

• Kurulu geliştirici araçlarınızın ayar dosyalarını (config.toml, settings.json gibi) zaman zaman elle açıp kontrol edin.

• Tanımadığınız bir kanca veya eklenti kaydı gördüğünüzde önce ne işe yaradığını araştırın, sonra karar verin.

• Müşteri projelerinde kullanılan API anahtarlarını ayrı, izole ortamlarda tutmaya özen gösterin.

Şu an için yapılması mantıklı olan şey, bu tür bir bildirimle karşılaşıldığında kendi sisteminizde benzer bir davranış olup olmadığını kontrol etmek ve şüpheli bulduğunuz entegrasyonları kaldırmak. Henüz yapılmaması gereken şey, doğrulanmamış bir veri sızdırma iddiasını kesin olgu gibi paylaşmak; raporun kendisi bile bu konuda temkinli davranıyor. Önümüzdeki günlerde asıl bakılması gereken yer, Postman'ın konuya dair resmi ve ayrıntılı bir açıklama yapıp yapmayacağı ve sorunun temiz bir Mac üzerinde yeniden üretilip üretilemeyeceği olacak.

Benzer güvenlik ve süreç odaklı projelerde edindiğimiz deneyimleri portfolyomuzda inceleyebilirsiniz. Ekibinizin geliştirici araç zincirini gözden geçirmek veya kapsamlı bir teklif almak isterseniz teklif al sayfamızdan bize ulaşabilirsiniz.