Um app mudar as configurações de outro programa sem pedir é um problema de cadeia de suprimentos, e foi isso que um usuário do Postman relatou quando uma atualização de desktop se ligou em silêncio aos seus agentes de código. Ao abrir o Postman 12.33.4 em um Mac, o usuário descobriu que ele havia instalado plugins tanto no Claude Code quanto no Codex, que analisamos, adicionado um hook de inicialização que direcionava o trabalho de API para o Postman e configurado uma conexão remota com o próprio serviço do Postman. Nada disso foi pedido; o gatilho foi simplesmente abrir o app.
O detalhe que piora tudo é a autoaprovação. O instalador não apenas adicionou um hook ao Codex, também tentou marcar esse hook como confiável em nome do agente. Segundo o relato, o código do instalador calcula o hash do hook e o escreve na lista de confiança do Codex, com um comentário no código admitindo que aprova apenas o hook atual do Postman após a instalação. Um aviso de confiança existe para que um humano decida se executa um código que o agente vai rodar no início de cada sessão. Uma ferramenta que aprova o próprio hook removeu em silêncio essa decisão, o que esvazia o sentido do mecanismo.
A trilha técnica é específica. O relato, aberto em 25 de outubro de 2026, mostra o config.toml global do Codex apontando para o repositório do plugin do Postman, um hook de início de sessão que imprime instruções dizendo ao agente para encaminhar amplo trabalho de API ao Postman, e uma conexão com um servidor MCP remoto no domínio do Postman que aparecia como avisos de autenticação recorrentes. Um plugin do Claude Code e uma CLI do Postman instalada à parte faziam parte do mesmo pacote. A issue reuniu 437 votos a favor, uma medida de quantos desenvolvedores sentiram o mesmo.
A resposta do Postman foi dizer que o agrupamento pretendia facilitar a configuração e que está revertendo a mudança. Esse é o desfecho certo, mas a intenção é a defesa fraca aqui: um instalador que edita a configuração de um agente e depois aprova as próprias instruções é perigoso, tenha ou não havido intenção de causar dano, porque o próximo fornecedor a copiar o padrão pode ter intenções piores.
A lição prática é para quem roda um agente de código ao lado de outros apps de desenvolvimento. Vale abrir os arquivos de configuração do Codex e do Claude Code e procurar hooks, plugins ou servidores MCP que você não adicionou, já que esse é o tipo de mudança que se instala em silêncio e só aparece depois como comportamento estranho. A lição mais ampla é que a lista de confiança de um agente é tão forte quanto a regra de que quem decide o que entra nela é um humano, não um programa.