Postman 업데이트 뒤 클로드 코드와 코덱스에 생긴 플러그인
API 테스트 도구 Postman의 데스크톱 앱이 업데이트되면서, 사용자가 따로 설치한 적 없는 Postman 플러그인을 Claude Code와 Codex 안에 넣었다는 보고가 Postman 공식 이슈 저장소에 올라왔습니다. 처음 글은 10월 25일에 올라왔는데, 한국 시간 11월 4일 새벽 해커뉴스 첫 화면에 걸리면서 984점과 댓글 300개 넘게 붙은 큰 화제가 됐습니다.
보고한 사람은 맥에서 오랜만에 Postman을 열었더니 코딩 에이전트 쪽이 이상해졌다고 적었습니다. Codex가 API 관련 작업을 할 때마다 Postman 스킬을 불러오겠다고 말하고, MCP 인증 경고가 계속 떴다는 겁니다. 원인을 따라가 보니 Postman 앱 로그에 auto-existing-upgrade라는 이름으로 claude-code:installed, codex:installed가 찍혀 있었습니다. 앱이 열린 그 시점에 두 도구에 플러그인을 넣었다는 기록입니다.
설치된 것은 하나가 아니었습니다. Codex 전역 설정 파일에 Postman 마켓플레이스와 postman@postman 플러그인이 켜진 상태로 들어갔고, 세션을 시작할 때마다 안내문을 넣는 시작 훅, Postman 원격 MCP 서버 연결, Claude Code의 postman@claude-plugins-official 플러그인, 그리고 Postman CLI 실행 파일까지 생겼습니다. 버전으로 보면 Postman 데스크톱 12.33.4, Codex용 플러그인 1.1.0, Claude Code용 플러그인 2.0.1이었습니다.
한국 시간 11월 4일 아침에는 다른 사용자가 같은 경로를 다시 겪었다는 댓글을 달았습니다. 로그인해 둔 Postman이 12.31.3에서 12.35.1로 업데이트된 직후 Postman CLI 1.85.0과 Claude Code, Codex 플러그인이 설치됐고, Cursor에는 이미 깔려 있던 플러그인 위로 같은 시작 안내문이 들어가 있었다고 합니다. 한 사람의 특수한 환경이 아니라 기존 사용자 업데이트 경로에서 반복된 일로 보입니다.
자동 설치된 항목과 생기는 위치
두 보고를 합치면 Postman이 손댄 곳은 네 군데입니다. 맥 기준 경로라서 윈도우에서는 사용자 폴더 아래 같은 이름의 폴더를 보면 됩니다. 다만 윈도우에서 같은 일이 생겼다는 보고는 아직 이슈에 없습니다.
가장 눈에 띄는 건 Codex입니다. 설정 파일인 config.toml에 Postman 저장소를 마켓플레이스로 등록하고 플러그인을 켜 두었습니다. 첫 보고에서는 여기에 시작 훅을 신뢰한다는 기록(trusted_hash)까지 들어가 있었고, 두 번째 보고에서는 이 기록이 없었습니다. 같은 설치기라도 Codex 버전이나 상황에 따라 훅 승인 단계가 성공하기도 하고 건너뛰기도 한 것으로 보입니다.
Claude Code에는 Anthropic 공식 마켓플레이스에 올라 있는 Postman 플러그인이 사용자 범위로 설치되고 settings.json에서 켜졌습니다. Cursor는 로컬 플러그인 폴더와 마켓플레이스 캐시 두 곳에 사본이 생길 수 있는데, 설치 도구의 remove 명령은 로컬 폴더만 지우고 마켓플레이스 사본은 Cursor 안에서 따로 지워야 한다고 설치 도구 코드에 적혀 있습니다. 마지막으로 홈 폴더의 .local/bin 아래에 postman 명령이 생깁니다.
| 도구 | 생기는 것 | 들여다볼 곳 |
|---|---|---|
| Codex | Postman 마켓플레이스, postman@postman 플러그인, 시작 훅, 원격 MCP 연결 | ~/.codex/config.toml |
| Claude Code | postman@claude-plugins-official 플러그인(사용자 범위) | ~/.claude/settings.json, ~/.claude/plugins/installed_plugins.json |
| Cursor | Postman 플러그인과 같은 시작 안내문 | ~/.cursor/plugins/local/postman, ~/.cursor/plugins/cache/cursor-public/postman |
| 터미널 | Postman CLI 실행 파일 | ~/.local/bin/postman |
이슈에 올라온 두 맥 사용자의 보고와 설치 도구 코드 기준. 윈도우는 사용자 폴더(%USERPROFILE%) 아래 같은 폴더 이름.
코덱스 시작 훅이 문제가 된 이유
플러그인 하나 더 깔린 것보다 사람들이 크게 반응한 부분은 시작 훅입니다. 이 훅은 Codex 세션을 새로 열거나 대화를 정리할 때마다 Postman 안내문을 에이전트에게 넣습니다. 안내문에는 API를 설계하거나 구현, 테스트, 문서화하는 일처럼 사소하지 않은 API 작업이면 답하기 전에 Postman의 api-engineer 스킬을 먼저 불러와 따르라는 문장이 들어 있습니다. 사용자가 Postman을 쓰자고 한 적이 없어도 에이전트가 Postman 방식으로 일하도록 기본값을 바꾸는 셈입니다.
Codex는 원래 이런 걸 막는 장치를 두고 있습니다. 공식 문서에 따르면 사용자가 직접 관리하지 않는 훅은 사람이 한 번 살펴보고 신뢰해야 실행되고, 훅 내용이 바뀌면 해시가 달라져 다시 승인을 받아야 합니다. 그런데 Postman 설치 도구는 설치 직후 Codex 훅 목록을 읽어 자기 훅의 해시를 신뢰 목록에 써 넣는 단계를 거칩니다. 저장소 설명에도 Codex는 설치할 때 Postman의 시작 훅을 함께 승인하며, 따로 훅 승인 창이나 안내문 출력은 없다고 적혀 있습니다.
이 방식은 npx로 설치 도구를 직접 실행하는 사람에게는 문서에 적힌 동작입니다. 문제는 같은 설치 도구가 데스크톱 앱 업데이트 중에 사용자가 실행하지 않은 상태로 돌았다는 점입니다. 에이전트가 사람에게 물어봐야 할 단계를 다른 프로그램이 대신 눌러 준 꼴이라, 이슈 제목에도 심각(SEVERE)이라는 표시가 붙었습니다.
원격 MCP 연결은 Postman 서버(mcp.postman.com)를 가리키지만, 두 보고 모두 로그인하지 않아 인증이 필요하다는 오류만 남았습니다. 해커뉴스 제목은 API 데이터를 모두 공유하려 한다고 적었지만, 처음 보고한 사람과 두 번째 사용자 모두 데이터가 실제로 올라갔다는 증거는 없다고 밝혔습니다. 지금까지 드러난 사실은 동의 없이 설치되고 에이전트 지시가 바뀌었다는 데까지입니다.
Postman 답변과 다운로드 페이지 문구
한국 시간 11월 4일 오전 이슈에는 Postman 쪽 답변이 올라왔습니다. 작성자 계정에 소속 표시는 없지만 회사 입장으로 쓴 글입니다. 요지는 이렇습니다. Postman CLI와 에이전트 플러그인을 따로 설치하고 연결하는 걸 어려워하는 사용자가 많아서 데스크톱 앱에 묶었고, 다운로드 페이지와 앱 업데이트 과정에서 이를 알리고 있으며, 각 구성 요소는 앱 안에서 지울 수 있다는 설명입니다.
같은 답변에서 Postman은 특히 기존 사용자에게 동의 절차를 더 분명하게 만들고, 문제로 지적된 훅 자동 승인과 세션 시작 동작을 다시 살펴보겠다고 했습니다. 바뀌는 내용은 이슈에 계속 올리겠다고 했지만, 지금 시점에는 몇 버전부터 무엇이 달라지는지 구체적인 일정은 없습니다.
다운로드 페이지에는 실제로 Postman 앱이 Postman CLI와 Postman 플러그인을 포함한다는 문장이 있습니다. 다만 인터넷 아카이브에 남은 10월 26일 다운로드 페이지에는 이 문장이 없습니다. 이슈 댓글에서도 이 차이를 들어 안내가 나중에 추가된 것 아니냐는 지적이 나왔습니다. 처음 보고가 올라온 10월 25일 무렵에 업데이트를 받은 사람은 페이지에서 이 안내를 볼 수 없었던 셈입니다.
이슈 댓글 분위기는 꽤 거칩니다. 회사 환경에서는 승인되지 않은 도구가 개발자 PC에 깔리는 것 자체가 문제라는 의견이 많았고, 이참에 Bruno나 Insomnia 같은 다른 API 클라이언트로 옮기겠다는 댓글도 여럿 보였습니다.
postman-plugin status와 remove로 지우는 방법
Postman이 내놓은 설치 도구에는 지우는 명령도 들어 있습니다. 우분투(WSL)에서 npm에 올라온 @postman/postman-plugin 0.6.0을 받아 도움말을 띄워 보면 install, status, remove 세 가지 명령이 있고, remove는 uninstall이라고 써도 됩니다. 아무것도 바꾸지 않고 바뀔 내용만 보여 주는 --dry-run, 특정 도구만 고르는 --agent 옵션도 있습니다.
순서는 status로 어디에 깔렸는지 보고, remove에 --dry-run을 붙여 무엇이 지워질지 미리 본 다음, 마지막에 remove를 실행하는 식이 안전합니다. 아래 명령은 맥과 리눅스, WSL 터미널, 윈도우 PowerShell에서 똑같이 쓸 수 있습니다. Codex만 지우고 싶으면 --agent codex, Claude Code만이면 --agent claude-code를 붙입니다.
패키지는 Node 22 이상을 요구합니다. Node 20에서 실행하면 지원하지 않는 엔진이라는 경고가 나오지만 도움말과 status는 그대로 동작했습니다. 에이전트가 하나도 없는 깨끗한 환경에서 status를 돌리면 지원하는 코딩 도구를 찾지 못했다는 한 줄만 나옵니다. Postman이 깔린 PC라면 도구마다 installed 또는 not installed가 표시됩니다.
설치 도구 코드를 보면 remove는 Claude Code에서는 claude plugin uninstall로 사용자 범위 플러그인을 지우고, Codex에서는 codex plugin remove로 postman@postman을 지웁니다. 끝나면 Claude Code는 다시 시작하고, Cursor는 창을 다시 불러와야 반영된다고 안내합니다. 이 설치 도구 역시 Postman이 만든 것이라 믿기 어렵다면 아래 직접 지우는 방법을 쓰면 됩니다.
# 1) 어디에 깔렸는지 보기
npx @postman/postman-plugin status
# 2) 지울 내용 미리 보기 (아무것도 바꾸지 않음)
npx @postman/postman-plugin remove --dry-run
# 3) 실제로 지우기
npx @postman/postman-plugin remove
# 특정 도구만 지우기
npx @postman/postman-plugin remove --agent codex
npx @postman/postman-plugin remove --agent claude-codeClaude Code와 Codex 안에서 직접 지우고 남은 흔적 보기
Postman 설치 도구를 다시 돌리고 싶지 않다면 각 도구의 기본 메뉴로도 지울 수 있습니다. Claude Code는 세션 안에서 /plugin을 입력하면 설치된 플러그인 목록이 나오고, 여기서 Postman 플러그인을 끄거나 지울 수 있습니다. 터미널에서는 claude plugin uninstall postman@claude-plugins-official --scope user 한 줄로 같은 일을 합니다.
Codex는 /plugins로 플러그인 화면을 열어 Postman을 지우고, /hooks 화면에서 남은 시작 훅이 없는지 봅니다. 공식 문서에 따르면 /hooks에서는 훅 출처를 보고, 새로 생기거나 바뀐 훅을 검토하고, 사용자가 관리하는 훅을 하나씩 끌 수 있습니다. 터미널을 쓴다면 codex plugin remove postman@postman으로 플러그인을, codex plugin marketplace remove postman으로 Postman 마켓플레이스 등록을 지웁니다.
지운 뒤에는 설정 파일에 postman이라는 글자가 남았는지 한 번 찾아보는 게 좋습니다. 맥과 리눅스는 grep -n postman ~/.codex/config.toml ~/.claude/settings.json, 윈도우 PowerShell은 Select-String -Path $env:USERPROFILE\.codex\config.toml -Pattern postman 정도면 충분합니다. hooks.state 아래 postman@postman으로 시작하는 줄이 남아 있다면 플러그인이 지워진 뒤에도 신뢰 기록만 남은 것이니 /hooks에서 정리하면 됩니다.
Codex 문서는 플러그인을 지워도 ChatGPT 쪽에 따로 연결해 둔 MCP 연동은 그대로 남는다고 적고 있습니다. Postman MCP에 로그인까지 했다면 연결 목록도 따로 봐야 합니다. 그리고 Postman이 다음 업데이트에서 다시 설치하지 않는다는 공식 설명은 아직 없습니다. 당분간은 Postman을 업데이트한 날 status를 한 번 더 돌려 보는 정도의 습관이 필요해 보입니다.
# Claude Code
claude plugin uninstall postman@claude-plugins-official --scope user
# Codex
codex plugin remove postman@postman
codex plugin marketplace remove postman
# 남은 흔적 찾기 (맥, 리눅스, WSL)
grep -n postman ~/.codex/config.toml ~/.claude/settings.json
# 남은 흔적 찾기 (윈도우 PowerShell)
Select-String -Path $env:USERPROFILE\.codex\config.toml -Pattern postman