Postmanのプラグインが勝手にClaude Code・Codexへ入る問題｜危険性・確認・削除方法【2026年11月】

Postmanのデスクトップアプリを開いたら、頼んでいないのにClaude CodeとCodexへPostmanのプラグインが入っていた、という報告が2026年10月末にGitHubで上がりました。データが外に出た証拠は今のところありませんが、心当たりがないまま入っているなら、いったん削除して設定を元に戻すのが安全です。

この記事でわかること

• 報告されている内容と、確認済みのこと・まだわかっていないこと
• プラグインが端末のどこを書き換えるのか
• 何が危ないのか（Anthropic・OpenAIの公式説明を根拠に）
• 自分の端末に入っているかを確かめるコマンド
• Claude Code・Codex・Postman CLIそれぞれの削除方法と、削除後の確認
• 会社で使っている場合の再発防止

こんな人向けの記事です

• PostmanとClaude Code、またはPostmanとCodexを同じMacで使っている開発者
• 「Codexが急に認証エラーを出す」「頼んでいないPostmanのスキルが読み込まれる」と感じた人
• 社内でAIコーディングツールを管理している情報システム・開発リーダー

心当たりがなければ削除し、設定ファイルを確認する

2026年11月4日時点で確認できている事実は次のとおりです。

• Postmanデスクトップの更新時に、Claude CodeとCodexへPostmanのプラグインとPostman CLIが利用者の操作なしで入ったと報告されている（macOSのみ）
• Codexでは、本来利用者が確認するはずの「起動フックを信頼するか」を、Postmanのインストーラーが代わりに済ませた記録が見つかっている
• データが外に出た証拠は示されていない。Postmanのリモートサーバーへの接続は認証エラーで失敗していた
• Postmanの正式な声明・修正版はまだ確認できない。GitHubのissueは未解決（Open）のまま

自分で入れた覚えがないなら、プラグインを消し、Codexのフックの信頼記録が残っていないかを確かめておけば十分です。マルウェアと決めつけて慌てる段階ではありませんが、放置する理由もありません。

何が起きたのか（時系列）

発端は、Postmanの公式サポート用リポジトリに立てられたGitHub issue #14370です。起票者は、Codexが認証エラーを出し、頼んでいないPostmanのスキルを何度も読み込むようになったことで異変に気づきました。

ログに残っていたのは、インストールのきっかけが auto-existing-upgrade（既存ユーザーの更新時に自動で入れる処理）だったという記録です。利用者が「プラグインを入れる」ボタンを押した記録ではありません。

なお、Postmanの公式ドキュメントが案内しているプラグインの導入方法は、npx @postman/postman-plugin での一括導入、エージェントごとの個別導入、postman init でスキルだけ読み込む方法の3つで、どれも利用者が自分で実行する前提です。デスクトップアプリの更新で自動的に入る仕組みについては、公式ドキュメントに説明がありません。

Postmanのプラグインは端末のどこを書き換えるのか

出典: Postman 公式サイト

Postmanのプラグイン（Postman plugin for coding agents）は、コーディングエージェントにAPIの調査・モック・コレクション操作などのスキルを追加するものです。報告者の端末では、次の場所が変わっていました。

出典はissue #14370と、プラグインのソースコードを確認したdev.toの解説記事です。

Codexに入った起動フック（セッション開始時に毎回動く処理）は、「Postmanを名指ししていなくても、簡単でないAPIの作業の前には postman:api-engineer スキルを読み込め」という指示をエージェントに渡す内容でした。ただし、AGENTS.mdやCLAUDE.mdに書いた利用者の指示が優先される、とも書かれています。

プラグインそのものの仕組みを知りたい方は、AIエージェントのプラグインとはとスキルとフックの違いもあわせて読むと理解しやすくなります。

危険性はどこにあるのか

出典: OpenAI Codex 公式（GitHub）

問題は「Postmanのプラグインが悪いもの」という点ではありません。利用者が選んでいない変更が、確認を飛ばしてほかのアプリの設定に入ったことが問題です。具体的には5つに分けられます。

1. 同意なしに別のアプリの設定が変わった

Postmanデスクトップの更新が、Claude CodeとCodexという別の製品の設定ファイルを書き換えました。利用者はPostmanを更新しただけで、AIエージェントの構成を変えるつもりはありません。

2. Codexの「フックを信頼するか」の確認が飛ばされた

ここが一番重い点です。OpenAIのCodex公式ドキュメント（Hooks）では、プラグインを入れてもフックは自動では信頼されず、利用者が確認して信頼するまでスキップされる設計になっています。

ところがPostmanのインストーラーには、入れた直後に自分の起動フックを信頼済みとして config.toml に書き込む処理（approvePostmanHook）があります。これはPostmanの公式ドキュメントにも「インストーラーがフックを承認します」と書かれている挙動です。npxの一括インストーラーを利用者が自分で実行した場合でも、確認画面は出ません。今回はそれが、利用者が実行していない自動インストールの中で起きました。

3. フックはサンドボックスの外で動く

AnthropicのClaude Code公式ドキュメント（プラグインのセキュリティ）は、インストールしたプラグインは利用者の権限で端末上の任意のコードを実行でき、フックやMCPサーバーの起動処理はサンドボックスの外で動くと明記しています。権限の設定やサンドボックスが効くのは、Claudeのツール呼び出しに限られます。

つまり、信頼済みのフックは「AIに許可した範囲」とは別枠で動きます。今回の起動フックの中身は指示文を渡すだけでしたが、プラグインは更新で中身が変わる可能性があります。Claude Codeの公式マーケットプレイス（claude-plugins-official）は自動更新が既定でオンです。

フックの仕組みはClaude Codeのフック解説で詳しく紹介しています。

4. エージェントの作業の進め方が知らないうちに変わる

起動フックがセッションのたびに「APIの作業ではPostmanのスキルを使え」と指示するため、エージェントの判断に外から手が入ります。悪意のある命令ではありませんが、利用者が書いていない指示が毎回差し込まれる点は、プロンプトの注入に近い構造です。報告者のCodexが不要なスキルを何度も読み込んだのはこのためです。

5. 接続先と実行ファイルが増える

PostmanのリモートMCPサーバーが有効になり、外部への接続先が1つ増えました。また ~/.local/bin はPATHに入っていることが多く、知らない実行ファイルが置かれると、意図しないコマンドが呼べる状態になります。MCPの基本はMCPとはで解説しています。

確認済みのこと・まだわかっていないこと

煽り気味の見出しも出回っているため、確認できたこととまだわかっていないことを分けておきます。

issueのコメント欄には「マルウェアだ」という意見もありますが、これは事実として確認されたものではありません。

自分の端末に入っているか確認する方法

まずは消す前に、入っているかどうかを確かめます。以下はmacOS・Linuxのターミナル向けです。

Claude Code

claude plugin list
grep -n -i postman ~/.claude/settings.json ~/.claude/plugins/installed_plugins.json

claude plugin list の一覧に postman があれば入っています。Claude Codeのセッション内で /plugin を開き、Installedタブで見る方法もあります。中身を確かめたいときは claude plugin details postman@claude-plugins-official で、フックやMCPの構成を表示できます。

Codex

codex plugin list
codex plugin marketplace list
grep -n -i postman ~/.codex/config.toml

config.toml の検索結果に hooks.state や trusted_hash の近くでPostmanの記述があれば、フックが信頼済みにされています。

Postman CLI

ls -la ~/.local/bin | grep -i postman

自分でPostman CLIを入れた覚えがなく、日時がPostmanを開いた日と一致していれば、自動インストールで置かれた可能性があります。

Postmanのログ

報告者はPostmanのログ（main.log）で PostmanAgentPluginService と auto-existing-upgrade の記録を見つけています。ログの保存場所はバージョンや環境によって異なるため、次のように検索するのが手早いです。

grep -rl "auto-existing-upgrade" ~/Library/Application\ Support/Postman ~/Library/Logs 2>/dev/null

何も出なくても、ログの場所が違うだけの可能性があります。最終的には、Claude Code・Codexの設定を見た結果で判断してください。

Windowsでの発生は報告されていませんが、気になる場合は %USERPROFILE%\.claude\settings.json と %USERPROFILE%\.codex\config.toml をテキストエディタで開き、postman を検索してください。

削除方法（Claude Code・Codex・Postman CLI）

出典: Claude Code 公式ドキュメント

各エージェントの公式コマンドで消すのが基本です。Postmanの一括削除コマンドもあります。ただし、npxで実行するとPostmanのパッケージを取得して動かすことになるため、Postmanのコードをこれ以上動かしたくない人は、各ツールの公式コマンドを先に使ってください。

ここで紹介するコマンドは、Anthropic・OpenAI・Postmanの公式ドキュメントに基づいています。設定ファイルを直接触る前には、必ずバックアップを取ってください。

Claude Codeから削除する

claude plugin uninstall postman@claude-plugins-official --scope user
rm -rf ~/.claude/plugins/cache/claude-plugins-official/postman/

報告者の端末では ~/.claude/settings.json（ユーザー単位の設定）に追加されていたため、--scope user を指定しています。プロジェクト単位で入っていた場合は、そのスコープを指定してください。

公式ドキュメントによると、アンインストール後もプラグインのキャッシュは14日間残ります。すぐに消したい場合は2行目のように手で削除します。

今回はAnthropicの公式マーケットプレイス（claude-plugins-official）経由で入っているため、マーケットプレイスごと消す必要はありません。消すとほかの公式プラグインもまとめて消えます。installed_plugins.json を手で編集するより、uninstall コマンドを使ったほうが確実です。

Codexから削除する

cp ~/.codex/config.toml ~/.codex/config.toml.bak
codex plugin remove postman@postman
codex plugin marketplace remove postman
grep -n -i postman ~/.codex/config.toml

1行目でバックアップを取り、プラグインとPostmanのマーケットプレイスを削除します。今回のマーケットプレイスはPostman自身がgitソースとして追加したものなので、こちらは消して問題ありません。

最後の grep で、まだPostmanの記述が残っていないか確認します。codex plugin remove が [hooks.state] の trusted_hash まで消すかは公式ドキュメントに書かれていません。Postmanのフックの信頼記録やMCPの設定が残っていたら、エディタで該当の項目を削除してください。

そのうえでCodexを起動し、/hooks を開いてPostmanのフックが残っていないか確認します。/hooks ではフックの確認・信頼・無効化ができます。

Postman CLIを削除する

ls -la ~/.local/bin | grep -i postman
rm ~/.local/bin/postman

1行目で実際のファイル名を確かめてから消してください。Postman CLIを普段から自分で使っている人は、消す必要はありません。

Postmanの一括削除コマンドを使う場合

npx @postman/postman-plugin status
npx @postman/postman-plugin remove --dry-run
npx @postman/postman-plugin remove

Postman公式の手順です。status で状態を確認し、--dry-run で何が消えるかを見てから実行します。--agent claude-code や --agent codex で対象を絞ることもできます。実行にはNode.js 22以上が必要です。

issueでのPostman側の返信では「アプリ内からアンインストールできる」とされていますが、どの画面から操作するかは公式ドキュメントで確認できません。アプリ内で消した場合も、ここまでのコマンドで消えたかを確かめておきましょう。

Postmanアプリを消すだけでは足りない点に注意してください。デスクトップアプリをアンインストールしても、Claude CodeとCodexの設定は残る可能性があると報じられています。

削除後の確認と再発防止

削除したら、claude plugin list・codex plugin list・grep -n -i postman ~/.codex/config.toml をもう一度実行し、postman が出てこないことを確かめます。あわせて、次の点を押さえておきます。

• Postmanを更新したら再確認する: 自動インストールを止める設定があるかは、現時点で公式に説明されていません。修正版が出るまでは、Postmanの更新後に claude plugin list と codex plugin list を見る習慣をつけると安心です
• Codexの認証エラーが消えたか見る: 報告者の症状はPostmanのMCPの認証失敗でした。削除後もエラーが出る場合は、config.toml にMCPの設定が残っていないか確認してください
• ほかのエージェントも見る: Postmanのプラグインは、Cursor・GitHub Copilot CLI・OpenCodeなどにも対応しています。使っているなら同じように一覧を確認しておくと漏れがありません

会社で使っている場合

個人の端末の問題で終わらせず、AIコーディングツールの設定を組織で管理する仕組みを入れる機会にしてください。どちらのツールにも、管理者が強制できる設定があります。

• Claude Code: managed settings（管理者が配布する設定）で、使ってよいマーケットプレイスの許可・禁止や、管理者が配布したもの以外のフックの禁止ができる
• Codex: requirements.toml に allow_managed_hooks_only = true を書くと、ユーザー・プロジェクト・プラグインのフックを読み込まなくなる

チーム導入時の設定例はClaude Codeのチーム導入ガイドとClaude Codeのセキュリティ対策で解説しています。

AIエージェントで作った試作や社内ツールを、実データや既存システムにつないで業務で使う段階になると、どの拡張やフックを許可するか、権限と設定を誰が管理するかを先に決めておく必要があります。その段階で何を整えるべきかは、バイブコーディング・Lovableで作ったアプリを本番運用するにはにまとめています。

Postmanを使い続ける場合の安全な入れ方

Postman本体やプラグインを使い続けたい場合は、導入方法で安全性が変わります。

自分で中身を見てから承認できる個別導入か、プラグインを入れない postman init を選ぶのが無難です。ChatGPTのプラグインページから入れる版には、フックが含まれていないとされています。

Postman自体への信頼が揺らいだという声もあり、issueやHacker Newsでは代わりのAPIクライアントとしてBruno・Insomnia・Yaakの名前が挙がっています。乗り換えるかどうかは、Postmanの今後の対応を見てから決めても遅くありません。

すぐ確認したほうがいい人・慌てなくてよい人

すぐ確認したほうがいい人

• macOSでPostmanデスクトップとClaude Code、またはCodexを併用している
• 2026年10月下旬以降にPostmanを更新した、または開いた
• Codexで急に認証エラーが出る、Postmanのスキルが勝手に読み込まれる
• 会社の端末で、顧客のAPIキーや社内システムの情報を扱っている
• Codexのフックを自分で承認した覚えがないのに、信頼済みのものがある

慌てなくてよい人

• Postmanデスクトップを入れていない、またはブラウザ版だけ使っている
• Claude CodeもCodexも使っていない
• 自分の意思でPostmanのプラグインを入れて使っている（その場合も、Codexのフックの中身は一度確認しておくと安心です）
• 確認コマンドで postman が出てこなかった

関連する危険性の全体像はAIコーディングツールのセキュリティリスク、似た事例としてClaude Codeの拡張機能をめぐる問題もあわせて参考にしてください。

よくある質問

Q. APIキーやトークンは漏れたのでしょうか？

漏れたという証拠は今のところ出ていません。報告者の環境では、PostmanのリモートMCPサーバーへの接続が認証エラーで失敗していました。ただし不安が残る場合、特に会社の端末で重要なキーを扱っているなら、念のためキーを再発行しておくと安心です。

Q. Postmanが自動インストールをやめる予定はありますか？

issueでPostman側と見られるアカウントが「既存ユーザー向けにオプトインをわかりやすくする」「フックの承認と起動時の挙動を見直している」と返信し、変更が入ったらissueで知らせるとしています。ただし時期やバージョンは示されておらず、新規ユーザーも対象になるのかは不明です。

Q. Claude Codeで勝手にプラグインが入るのを防ぐ方法は？

個人なら、claude plugin list を定期的に確認するのが現実的です。組織ならmanaged settingsで、使えるマーケットプレイスやフックを管理者が制限できます。今回のように別のアプリが設定ファイルを直接書き換えるケースは、Claude Code側の確認画面では止められない点に注意してください。

Q. Codexでフックを信頼したかどうかは、どこで見られますか？

Codexを起動して /hooks を開くと、フックの一覧と信頼の状態を確認・変更できます。信頼はフック定義のハッシュに紐づいているため、中身が変わると再確認を求められる仕組みです。

Q. Cursorにも入っていますか？

Cursorへの自動インストールは確認されていません。issueには「Cursorには前から入っていた」という報告がある程度です。Postmanのプラグインは Cursor 2.5以上にも対応しているため、Cursorを使っている人は拡張・プラグインの一覧を一度見ておくと確実です。

まとめ

• Postmanデスクトップの更新で、Claude CodeとCodexにPostmanのプラグインとPostman CLIが自動で入ったと報告されている（2026年11月4日時点でmacOSの2件、issueは未解決）
• 問題の中心は、Codexが利用者に求める「フックを信頼するか」の確認を、Postmanのインストーラーが代わりに済ませた点。フックはサンドボックスの外で利用者の権限で動く
• データ流出の証拠はなく、再現も限られている。煽らず、確認して不要なら消すのが妥当
• 削除は claude plugin uninstall・codex plugin remove・codex plugin marketplace remove を基本にし、Codexの config.toml に信頼記録が残っていないかを最後に確かめる
• 会社で使う場合は、managed settingsや allow_managed_hooks_only でフックとマーケットプレイスを管理者が制限しておく

Claude Code・Codexの基本はClaude CodeとはとOpenAI Codexとはで、MCPサーバーの設定と確認についてはClaude CodeのMCP連携ガイドで紹介しています。Postmanの対応は今後変わる可能性があるため、最新の状況はGitHub issue #14370で確認してください。