Incident de securitate: Aplicația Postman, acuzată că instalează plugin-uri fără acordul utilizatorilor

Intruziune în mediul de lucru?

O alertă de securitate a pus pe jar comunitatea dezvoltatorilor după ce un incident neobișnuit a fost raportat pe 25 octombrie. Aplicația desktop Postman a fost acuzată că instalează plugin-uri neautorizate, vizând direct asistenții de programare bazați pe inteligență artificială.

Totul a pornit de la utilizatorul de GitHub „indicava”, care a detaliat cum aplicația Postman a injectat plugin-uri în Claude Code și OpenAI Codex, fără a cere vreun consimțământ. Mai mult, software-ul a încercat să își activeze automat o funcție de startup, forțând asistentul Codex să utilizeze instrumentele de dezvoltare API ale Postman.

Problema a ieșit la iveală când Codex a început să se comporte haotic, afișând solicitări de autentificare neașteptate legate de integrarea Postman.

„Indicava” și-a exprimat surprinderea și îngrijorarea, subliniind că aplicația a acționat pe cont propriu.

Acest incident ridică semne de întrebare serioase privind vulnerabilitățile sistemelor de operare, care permit unor aplicații să modifice componente software externe, inclusiv modelele AI de care depind programatorii.

Acest caz subliniază o problemă tot mai acută: pe măsură ce instrumentele AI devin piloni în fluxul de lucru, securitatea lor devine critică. Modificările neautorizate nu doar că pot duce la erori imprevizibile, dar pot compromite date sensibile sau pot introduce breșe de securitate. Dezvoltatorii au nevoie de garanția că uneltele lor rămân integre și protejate de interferențe externe.

Cum a fost posibilă această breșă?

Deși mecanismul exact prin care Postman a reușit aceste modificări rămâne neclar, raportul sugerează o integrare profundă, care ar fi putut exploata permisiunile la nivel de sistem.

Această situație forțează o discuție necesară despre modul în care aplicațiile interacționează pe mașinile utilizatorilor și despre nevoia unui control mai strict asupra acestor procese.

În prezent, raportul este în curs de analiză, iar investigațiile se vor concentra pe procesul de instalare al Postman și pe protocoalele sale de interacțiune cu alte unelte de dezvoltare. Integritatea asistenților de codare AI este vitală, mai ales pe măsură ce aceștia devin tot mai sofisticați.

Ce software a fost afectat? Aplicația desktop Postman a vizat asistenții de programare Claude Code și OpenAI Codex.

Ce a făcut mai exact aplicația Postman? A instalat plugin-uri în uneltele AI fără permisiune și a încercat să activeze o funcție de startup care forța utilizarea instrumentelor sale API.

De ce este acest incident periculos? Ridică probleme majore de securitate. Modificarea altor programe fără acordul utilizatorului poate duce la comportamente riscante și la compromiterea integrității mediului de dezvoltare.