Postman桌面版被曝未经用户同意，静默为Codex和Claude Code安装插件与CLI工具并修改配置，还通过启动钩子将自身API技能设为默认入口，覆盖设计、测试、部署等任务，构成技能劫持。Postman称捆绑安装是为简化流程，未回应擅自设默认的问题，仅承诺改进授权提示。用户可检查配置文件并删除相关插件。