Postman被指自动装AI插件，数据团队该查哪

Postman 桌面版一升级，Codex 和 Claude Code 里就冒出了我没装过的 Postman 插件。

报告来自一台已登录的 Mac。网上标题喊着“全部 API 数据被共享”，这结论太满了——报告本身没证明数据外泄。

我翻了代码才发现，安装器会往另一款工具的配置里写信任记录。但代码里有跳过分支，不能断定每台机器都会自动批准。而且配置存在、hook 触发、调用发生、数据外发，是四件事，不能连成一条线直接定罪。

真要查，先留好版本、变更时间和配置差异。再按这条链往下核：会话启动日志有没有、AI 选没选 Postman 技能、有没有实际调用、远程连接有没有认证成功。

CLI 的 --report-events=false 只管单次命令发布，托管 MCP 不受它控制。关掉一条路，不等于所有出口都封了。

所以别急着把整份配置删干净。先存证据，再决定停哪项授权。