Los plugins de IA silenciosos de Postman rompen la norma que ninguna herramienta puede saltarse

¿Cuánta confianza tienes en la aplicación donde pegas tus tokens de producción? La mayoría de los desarrolladores nunca se lo plantea, porque los clientes de API viven en el mismo cajón mental que el terminal: aburridos, locales, nuestros. Por eso mismo el último escándalo de Postman ha sentado tan mal.

Qué ha pasado, por lo que sabemos

Un informe en el rastreador de incidencias de Postman en GitHub, presentado el 3 de noviembre, se titula «Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook». Según AI Weekly, al abrir Postman desktop 12.33.4 se instalaron sus plugins en Codex y Claude Code. Al parecer, modificó ~/.codex/config.toml y ~/.claude/settings.json sin una aceptación explícita.

El informe también ha dado la vuelta por Hacker News. Varios artículos secundarios afirman que la aplicación intenta además compartir datos de API con los servicios de IA de Postman. Por ahora, esas afirmaciones son acusaciones de un informe en un rastreador de soporte y de publicaciones de la comunidad. No hemos visto ningún comunicado de Postman en nuestra documentación, así que tomad la parte del uso compartido de datos como no confirmada.

El archivo de configuración es la escena del crimen

Incluso si dejamos a un lado la cuestión de los datos, la instalación de los plugins es lo más difícil de defender, suponiendo que el informe se sostenga. Un análisis de explainx.ai señala que la instrucción se aplica a «any non-trivial API engineering task». El ajuste está en la configuración global del usuario, de modo que todos los proyectos lo heredan. Es decir, una herramienta que abriste para depurar un único endpoint puede condicionar el comportamiento de tu asistente de IA en trabajos que nada tienen que ver.

No se trataría de un interruptor dentro de la propia ventana de Postman, sino de una herramienta que se mete en los ajustes de otras. A nuestro juicio, esa es la verdadera ofensa, y el «solo queríamos ayudar» no la cubre. Tu editor, tu shell y las configuraciones de tus agentes son tuyos. El instalador de otro proveedor no tiene derecho a escribir ahí por pensar que te va a gustar.

El mismo análisis señala que el plugin también conecta un endpoint MCP alojado, que describe como una vía por la que los datos pueden salir del equipo una vez que la autenticación tiene éxito. Mantengamos un lenguaje prudente: una vía no es una fuga. Pero a los desarrolladores no se les preguntó si querían que se construyera esa vía.

El consentimiento no es una fricción, es el producto

Los equipos de producto oyen «pregunta primero» e imaginan un embudo de conversión con un agujero. Creemos que, en herramientas para desarrolladores, es justo al revés. El valor de Postman es que la gente mete en él cosas reales: tokens, datos de clientes, sistemas internos. Una guía de dev.to advierte de que, si envías tokens de producción, datos de clientes o historiales médicos a través de Postman, las funciones de IA activadas por defecto importan. Es una afirmación de la comunidad, no un hallazgo verificado. Pero describe bien el modelo de riesgo.

Una colección de API se parece más a una caja fuerte de credenciales que a un documento. Cartografía tus sistemas y a menudo lleva las llaves. Nuestra postura es sencilla: las colecciones deben tratarse como secretos, y cualquier cosa que las lea, sincronice o resuma debería requerir un sí deliberado del usuario. No un ajuste enterrado ni una línea en el registro de cambios.

Hay además un argumento comercial. Las empresas ya miran con recelo el acceso de la IA. Un estudio de TCS con 1333 directivos concluyó que la seguridad, el riesgo y la gobernanza son el factor principal en cómo se desarrolla y despliega la IA, por delante del coste, la velocidad y la facilidad de despliegue. Los equipos de seguridad que lean este hilo probablemente no recordarán la ingeniosa integración con agentes. Recordarán el informe de que un cliente modificó archivos de configuración sin permiso. A partir de ahí, las negociaciones de compra se complican.

Qué hacer ahora

Si usas Postman desktop, revisaríamos esos dos archivos de configuración y los ajustes de IA antes de tu próxima sesión. Un comentario en un hilo de Hacker News dice que las versiones anteriores están bien, pero es un único comentario, así que compruébalo tú mismo. Rota cualquier token que pueda haber pasado por una compilación afectada si tu modelo de amenazas lo exige. Plantéate mantener las colecciones sensibles fuera de cualquier espacio de trabajo sincronizado en la nube.

Para los proveedores, la lección sale barata. Lanzad las funciones de IA desactivadas por defecto, mostrad exactamente qué se va a instalar o enviar y no toquéis nunca la configuración de otra herramienta sin avisar. Nuestro veredicto: si los informes son exactos, puede que Postman lo pensara como una comodidad, pero sigue pareciendo una falta de educación que los desarrolladores interpretarán como una traición a la confianza. La confianza es lo único que vende de verdad una herramienta que guarda tus llaves.