# ผู้ใช้รายงาน Postman ปลั๊กอิน AI ถูกลงใน Claude Code และ Codex เอง ทีมระบุจะทำ opt-in

> ผู้ใช้รายงานบน GitHub ว่า Postman ปลั๊กอิน AI ถูกติดตั้งลง Claude Code และ Codex เองหลังอัปเดตแอป ข้อความในนามทีม Postman 3 พ.ย. 2026 ระบุจะทำ opt-in ให้ชัดขึ้น

- ประเภท: ข่าว · หมวด: Software
- เผยแพร่: 2026-11-04T03:21:00.000Z · อัปเดต: 2026-11-04T03:21:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/software/postman-plugin-auto-install-claude-code-codex/

## สรุปประเด็นสำคัญ

- ผู้ใช้ชื่อ indicava เปิด issue #14370 บน GitHub ของ Postman เมื่อ **25 ตุลาคม 2026** (เวลา UTC) ว่าแอป Postman 12.33.4 บน Mac ติดตั้ง **Postman ปลั๊กอิน AI** ลง Claude Code และ Codex เอง
- log ของแอปที่ผู้รายงานแนบมาบันทึกแหล่งติดตั้งเป็น **auto-existing-upgrade** เมื่อ **24 ตุลาคม 2026** และผู้ใช้อีกรายรายงานว่าเกิดซ้ำหลังอัปเดตเป็น **12.35.1** เมื่อ 3 พฤศจิกายน
- README ของ postman-plugin บน GitHub ระบุว่าตัวติดตั้งสำหรับ Codex **อนุมัติ session-start hook** ของ Postman ให้ด้วย โดยไม่มีหน้าต่างถามแยกต่างหาก
- ข้อความที่โพสต์ใน issue เมื่อ **3 พฤศจิกายน 2026** ในนามทีม Postman บอกว่าแพ็กรวมไว้เพื่อให้ติดตั้งง่าย จะ**ทำ opt-in ให้ชัดขึ้น** โดยเฉพาะผู้ใช้เดิม และกำลังทบทวนการอนุมัติ hook
- ผู้รายงานระบุเองว่า issue นี้ยืนยันได้เพียงการเปลี่ยนค่าตั้งค่าและคำสั่งในเครื่อง **ไม่ได้อ้างว่ามีการส่งข้อมูลออกไป** และยังไม่ได้ทดสอบซ้ำบน Mac เครื่องใหม่

**Postman ปลั๊กอิน AI** ถูกติดตั้งลงเครื่องมือเขียนโค้ดอย่าง Claude Code และ Codex โดยผู้ใช้ไม่ได้สั่ง ตามรายงานที่ผู้ใช้ชื่อ indicava เปิดบน GitHub ของ Postman เมื่อ 25 ตุลาคม 2026 (เวลา UTC) หลังเปิดแอป Postman 12.33.4 บน Mac ข้อความที่โพสต์ใน issue เดียวกันเมื่อ 3 พฤศจิกายน 2026 ในนามทีม Postman โดยบัญชี GitHub ที่เรายืนยันไม่ได้ว่าเป็นสมาชิกองค์กร Postman ระบุว่าจะทำ opt-in ให้ชัดขึ้นและกำลังทบทวนการอนุมัติ hook

ข้อมูลในข่าวนี้มาจาก issue ที่ผู้ใช้เขียนเอง จาก README และไฟล์ในที่เก็บของ Postman และจากหน้าดาวน์โหลดของ Postman เราไม่ได้ทดสอบซ้ำบนเครื่องของเรา และเนื้อหาที่ระบุว่าเป็นข้ออ้างของผู้รายงานคือสิ่งที่เขารายงาน ไม่ใช่ข้อเท็จจริงที่ยืนยันแล้ว

## Postman ปลั๊กอิน AI ที่ผู้รายงานบอกว่าพบในเครื่อง

ผู้รายงานระบุว่าหลังเปิด Postman บน Mac เขาเจอคำเตือนการยืนยันตัวตน MCP ซ้ำ ๆ และ Codex เรียกใช้ skill ของ Postman กับงาน API เอง เมื่อสืบจึงพบปลั๊กอินของ Postman ทั้งระดับผู้ใช้ hook ตอนเริ่มเซสชัน การเชื่อมต่อ MCP ระยะไกล ปลั๊กอินสำหรับ Claude Code และ Postman CLI ที่ติดตั้งแยกต่างหาก

หลักฐานหลักที่เขาแนบคือ log ของแอป ซึ่งบันทึกที่เวลา 2026-10-24 09:34 UTC ว่า `PostmanAgentPluginService~install` ทำงานเสร็จด้วยแหล่ง `auto-existing-upgrade` และผลเป็น `claude-code:installed` กับ `codex:installed` เขายังรายงานว่า `~/.codex/config.toml` มี marketplace ของ Postman ปลั๊กอินที่เปิดใช้งาน และบันทึก `trusted_hash` ของ hook ส่วนฝั่ง Claude Code มีรายการ `postman@claude-plugins-official` ใน `~/.claude/settings.json`

| รายการที่ผู้รายงานพบ | รายละเอียดตามรายงาน |
| --- | --- |
| เวอร์ชันแอป | Postman 12.33.4 บน Mac |
| แหล่งติดตั้งใน log | auto-existing-upgrade เมื่อ 24 ต.ค. 2026 |
| Codex | เพิ่ม marketplace และปลั๊กอิน `postman@postman` พร้อมบันทึกความเชื่อถือ hook |
| Claude Code | เปิดใช้ `postman@claude-plugins-official` |
| MCP | ชี้ไปที่ `mcp.postman.com` แต่ Codex แจ้ง Auth required |
| เครื่องมืออื่น | พบ Postman CLI ใน `~/.local/bin` |

![หน้า issue #14370 บน GitHub ของ Postman ที่ผู้ใช้รายงานการติดตั้งปลั๊กอินอัตโนมัติ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/postman-plugin-auto-install-claude-code-codex/postman-issue-14370.webp?v=e3dcb599) _(ภาพ: GitHub (postmanlabs/postman-app-support) (ภาพหน้าจอ))_

ผู้รายงานเขียนชัดว่า issue นี้พิสูจน์การเปลี่ยนการตั้งค่าและคำสั่งโดยไม่ต้องการ แต่ไม่ได้อ้างว่ามีการส่งข้อมูลออกไป เขายังบอกว่ายังไม่ได้ทดสอบซ้ำบน Mac เครื่องใหม่ และบันทึกความเชื่อถือใน Codex เพียงอย่างเดียวพิสูจน์ไม่ได้ว่าใครสร้างรายการนั้น

## hook ของ Postman ปลั๊กอิน AI ที่สั่งให้เอเจนต์โหลด skill

Postman ปลั๊กอิน AI มี session-start hook ที่พิมพ์ข้อความคำสั่งให้เอเจนต์ ไฟล์ `hooks/session-start-context.md` บน GitHub ของ Postman ณ วันที่ 4 พฤศจิกายน 2026 ระบุให้เอเจนต์โหลด skill `postman:api-engineer` ก่อนตอบงานด้านวิศวกรรม API ที่ไม่ใช่งานเล็ก เช่น ออกแบบ ทดสอบ หรือเอกสารประกอบ API และบอกว่าคำถามล้วน ๆ กับการแก้บรรทัดเดียวไม่ต้องโหลด ไฟล์ฉบับปัจจุบันยังระบุว่าคำสั่งของผู้ใช้ เช่น AGENTS.md หรือ CLAUDE.md และคำขอโดยตรง มีลำดับเหนือกว่าข้อความนี้

![ไฟล์ session-start-context.md ของ postman-plugin บน GitHub แสดงข้อความที่ hook ส่งให้เอเจนต์](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/postman-plugin-auto-install-claude-code-codex/postman-session-start-hook.webp?v=74acfe6d) _(ภาพ: GitHub (postmanlabs/postman-plugin) (ภาพหน้าจอ))_

README ของ postman-plugin อธิบายว่าสำหรับ Codex ตัวติดตั้งจะอนุมัติ session-start hook ของ Postman ให้ด้วย และไม่มีหน้าต่างถามหรือการแสดงข้อความของ hook แยกต่างหาก ผู้รายงานจึงมองว่าเป็นปัญหาเรื่องความยินยอมและขอบเขตความเชื่อถือ ว่าเครื่องมือ API ไม่ควรทำให้ตัวเองเป็นขั้นตอนเริ่มต้นของเครื่องมืออื่นเพียงเพราะผู้ใช้เปิดแอป

## ข้อความในนามทีม Postman ระบุว่าอย่างไร

ข้อความที่โพสต์ใน issue เมื่อ 3 พฤศจิกายน 2026 เวลา 23:36 UTC ในนามทีม Postman ระบุว่า Postman รวม CLI และปลั๊กอินสำหรับเอเจนต์ไว้กับแอปเดสก์ท็อป เพราะผู้ใช้จำนวนมากติดตั้งและเชื่อมต่อแยกกันไม่สำเร็จ และกล่าวถึงเรื่องนี้ไว้ในหน้าดาวน์โหลดกับขั้นตอนอัปเดตแอป พร้อมบอกว่าถอดแต่ละส่วนได้จากในแอป ข้อความเดียวกันบอกว่าจะทำ opt-in ให้การติดตั้ง Postman ปลั๊กอิน AI ให้ชัดขึ้น โดยเฉพาะผู้ใช้เดิม และกำลังทบทวนการอนุมัติ hook กับพฤติกรรมของ session-start โดยจะโพสต์อัปเดตใน issue เมื่อมีการเปลี่ยนแปลง

เรายืนยันไม่ได้ว่าบัญชี GitHub ที่โพสต์ข้อความนี้เป็นพนักงานของ Postman จึงถือเป็นข้อความที่ปรากฏในกระทู้ทางการของ Postman ไม่ใช่ประกาศแยกต่างหาก หน้าดาวน์โหลดของ Postman เองระบุว่าแอป Postman รวม Postman CLI และ Postman plugins มาด้วย ส่วนผู้ใช้ในกระทู้ที่ตรวจหลังอัปเดตเป็น 12.35.1 เมื่อ 3 พฤศจิกายน รายงานว่า log เป็นแหล่งเดียวกัน และพบ CLI กับปลั๊กอินของ Claude Code และ Codex ถูกติดตั้ง แต่ไม่พบ `trusted_hash` ใน config ของ Codex ผู้ใช้อีกรายรายงานว่าพบการตั้งค่าของ Postman ปลั๊กอิน AI ใน GitHub Copilot และเมนูถอดปลั๊กอินในแอปไม่ถอดส่วนนั้น ทั้งสองข้อเป็นรายงานของผู้ใช้ที่เรายังไม่ได้ตรวจ

![หน้าที่เก็บ postman-plugin บน GitHub ซึ่งมีโฟลเดอร์ปลั๊กอินของ Claude, Codex, Cursor และเอเจนต์อื่น](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/postman-plugin-auto-install-claude-code-codex/postman-plugin-repo.webp?v=d741fc8c) _(ภาพ: GitHub (postmanlabs/postman-plugin) (ภาพหน้าจอ))_

## ทำไมเรื่อง Postman ปลั๊กอิน AI จึงสำคัญ

เอเจนต์เขียนโค้ดอ่านไฟล์ รันคำสั่ง และเรียกเครื่องมือภายนอกได้ ปลั๊กอิน hook และ MCP server ที่เพิ่มเข้าไปจึงกำหนดว่าเอเจนต์ทำงานอย่างไรและเชื่อคำสั่งจากใคร เมื่อแอปอย่าง Postman แก้ไฟล์ตั้งค่าเหล่านี้โดยผู้ใช้ไม่ได้ตัดสินใจ ทีมความปลอดภัยจะตอบไม่ได้ว่าเครื่องนักพัฒนาแต่ละเครื่องมีเครื่องมืออะไรเชื่อมกับเอเจนต์บ้าง ประเด็นนี้ต่างจากช่องโหว่แบบเดิมตรงที่ไม่ใช่โค้ดที่พังแต่เป็นการตั้งค่าและการให้สิทธิ์ที่ถูกเปลี่ยนโดยซอฟต์แวร์ที่ผู้ใช้ไว้ใจ

## สิ่งที่องค์กรควรทำกับ Postman ปลั๊กอิน AI

1. **ตรวจเครื่องนักพัฒนา** ดูรายการปลั๊กอินและ marketplace ใน `~/.claude/settings.json` และ `~/.codex/config.toml` รวมถึงไฟล์ตั้งค่าของ Cursor และ GitHub Copilot ว่ามี Postman ปลั๊กอิน AI ที่ไม่มีใครขอหรือไม่
2. **ตัดสินใจเรื่องนโยบาย** หากองค์กรไม่ต้องการ ให้ถอดผ่านเมนู Help ในแอปหรือใช้ `npx @postman/postman-plugin remove` ตาม README แล้วตรวจไฟล์ตั้งค่าซ้ำเพราะผู้ใช้บางรายรายงานว่าถอดไม่หมด
3. **ตรวจ hook และ MCP** ที่ถูกอนุมัติไว้ รวมถึงการเชื่อมต่อไปยัง `mcp.postman.com` ว่าตรงกับนโยบายการส่งข้อมูลของบริษัทหรือไม่
4. **ควบคุมการอัปเดตแอปเดสก์ท็อป** กำหนดเวอร์ชันที่อนุมัติ และอ่านบันทึกการเปลี่ยนแปลงก่อนปล่อยให้เครื่องอัปเดตเอง
5. **ติดตามอัปเดตจาก Postman** ใน issue #14370 เพราะ Postman บอกว่าจะโพสต์เมื่อเปลี่ยนพฤติกรรม opt-in และการอนุมัติ hook ติดตามข่าวเครื่องมือนักพัฒนาอื่นได้ที่[หมวดการพัฒนาซอฟต์แวร์](/software/development/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

เรื่อง Postman ปลั๊กอิน AI แสดงให้เห็นว่าองค์กรไทยควรรู้ว่าเครื่องพนักงานและเครื่องนักพัฒนาแต่ละเครื่องมีซอฟต์แวร์และการตั้งค่าอะไรอยู่ องค์กรที่ไม่มีทีมไอทีพอจะตรวจเรื่องนี้เองใช้ [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ซึ่งดูแลเครื่องพนักงาน เซิร์ฟเวอร์ และเครือข่าย แจ้งผ่าน Ticket ที่ตรวจสอบได้ ตอบภายใน 6 ชั่วโมง โดยทีมไทย 24x7 (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## คำถามที่พบบ่อย

### Postman ปลั๊กอิน AI ถูกติดตั้งเองจริงหรือไม่?

ตามรายงานใน issue #14370 บน GitHub ของ Postman ปลั๊กอิน AI ถูกลงเองตาม log ของแอปบันทึกการติดตั้งปลั๊กอินสำหรับ Claude Code และ Codex ด้วยแหล่ง auto-existing-upgrade ผู้ใช้อีกรายรายงานผลแบบเดียวกันหลังอัปเดตเป็น 12.35.1 ข้อความในนามทีม Postman (บัญชีที่ยืนยันสถานะไม่ได้) ระบุว่าแอปแพ็กเครื่องมือเหล่านี้มาด้วยและจะทำ opt-in ให้ชัดขึ้น

### Postman ปลั๊กอิน AI ทำอะไรกับเอเจนต์เขียนโค้ดของผม?

ตามรายงาน Postman ปลั๊กอิน AI เพิ่มชุด skill ของ Postman และ session-start hook ที่สั่งให้เอเจนต์โหลด skill api-engineer ก่อนงาน API ที่ไม่ใช่งานเล็ก ไฟล์บน GitHub ระบุว่าคำสั่งของผู้ใช้ เช่น AGENTS.md หรือ CLAUDE.md มีลำดับเหนือกว่า ผู้รายงานไม่ได้อ้างว่ามีการส่งข้อมูลออกไป

### ถอด Postman ปลั๊กอิน AI ออกจากเครื่องอย่างไร?

ผู้ใช้ใน issue ระบุว่าถอด Postman ปลั๊กอิน AI ได้จากเมนูในแอป คือ Help แล้วเลือก Postman CLI and Plugins และ Uninstall Postman Coding Agent Plugin ส่วน README ของ postman-plugin มีคำสั่ง npx @postman/postman-plugin remove ผู้ใช้รายหนึ่งรายงานว่าเมนูในแอปไม่ถอดการตั้งค่าของ GitHub Copilot ควรตรวจไฟล์ตั้งค่าของเอเจนต์ทุกตัวด้วยตัวเอง

### องค์กรควรตรวจอะไรบ้างเมื่อพบ Postman ปลั๊กอิน AI บนเครื่องนักพัฒนา?

ตรวจรายการปลั๊กอินและ marketplace ในไฟล์ตั้งค่าของ Claude Code, Codex และเอเจนต์อื่นว่ามี Postman ปลั๊กอิน AI หรือไม่ ตรวจว่ามี hook ที่ถูกอนุมัติ และมี MCP server ที่เพิ่มเข้ามาหรือไม่ แล้วเทียบกับนโยบายซอฟต์แวร์ขององค์กร ก่อนตัดสินใจว่าจะอนุญาต ถอด หรือบล็อก


## แหล่งอ้างอิง

- [[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook (Issue #14370)](https://github.com/postmanlabs/postman-app-support/issues/14370) — GitHub (postmanlabs/postman-app-support)
- [postmanlabs/postman-plugin README](https://github.com/postmanlabs/postman-plugin) — Postman (GitHub)
- [Download Postman](https://www.postman.com/downloads/) — Postman
- [hooks/session-start-context.md](https://github.com/postmanlabs/postman-plugin/blob/main/hooks/session-start-context.md) — Postman (GitHub)