Александр Гуков
AI

Ваши ИИ-агенты ставятся без вашего ведома?

В начале ноября 2026 года выяснилось, что десктопный Postman при установке молча ставит плагины Claude Code и Codex, стартовый хук, подключение к удалённому MCP-серверу и свой командный интерфейс — а установщик при этом пытался пометить собственный хук Codex как «доверенный». История взлетела на первое место Hacker News (более 1 300 баллов). Если у вас на машине работают ИИ-агенты — аудит конфигурации давно назрел.

Что именно произошло

Postman — популярный инструмент для работы с API, стоит на миллионах компьютеров разработчиков и, всё чаще, контент- и продакт-команд. По данным расследования, его десктопный установщик сделал четыре вещи:

  1. Автоматически установил плагины для двух coding-агентов — Claude Code и Codex;
  2. Прописал себе стартовый хук — код, который выполняется при каждом запуске агента;
  3. Создал подключение к удалённому MCP-серверу (MCP — это протокол, через который ИИ-агенты получают доступ к внешним инструментам и данным);
  4. Попытался пометить собственный хук в конфиге Codex как доверенный — чтобы агент не задавал лишних вопросов.

Почему это важно не только разработчикам

ИИ-агенты — это уже не чат-боты. Они выполняют команды, читают файлы, ходят в интернет, работают от вашего имени. Каждый плагин, хук или MCP-подключение — это новый «кончик руки» у модели, и важно знать, сколько таких концов и кому они принадлежат.Три риска в одном флаконе:

  • Риск доступа. Лишний MCP-сервер — это потенциальный канал, через который ваши данные (в том числе рабочие) могут уходить третьей стороне. Правило двух сервисов здесь работает особенно жёстко.
  • Риск действий. Стартовый хук выполняется автоматически, без вашего подтверждения. «Нейросеть нашла — человек подтвердил» превращается в «программа сделала — человек не заметил».
  • Риск доверия. Когда установщик сам помечает свой код как доверенный, система защиты отключается молча. Это самая тревожная деталь кейса.

Что это значит для российских команд

  • Теневой ИИ — общемировая проблема, и у нас он тоже есть. Сотрудники ставят удобные инструменты без согласования, корпоративные данные утекают через лишние подключения. Решение — не запрет, а политика: перечень разрешённых инструментов плюс регулярный аудит.
  • Российские агенты растут — и те же правила. На этой неделе Сбер раскрыл детали GigaChat-оператора и GigaChat-помощника для обработки миллионов обращений. Чем больше таких агентов вокруг — тем важнее дисциплина: любой агент в рабочем контуре должен иметь владельца, список доступов и дату последней проверки.
  • Экспортная совместимость. Если вы работаете с зарубежными агентами (Claude Code, Codex и др.), следите за их changelog — история с Postman началась именно с публичного issue.

Пострадали ли данные пользователей Postman?

Публично о компрометации данных не сообщалось: проблема в том, что установка была скрытой и без согласия. Но сама возможность такой установки — и есть уязвимость, которую надо закрывать.

Как понять, что у меня всё чисто?

Откройте конфигурацию каждого ИИ-агента и сверьте список плагинов/хуков/MCP с тем, что вы ставили сами. Незнакомые пункти — удалить и перезапустить инструмент.

Что такое MCP простыми словами?

Протокол, через который ИИ-агент подключается к внешним сервисам: файлам, базам, почте, интернету. Каждое MCP-подключение — это доступ, который выдаётся модели. Выдавать его стоит так же осознанно, как выдавать доступы новому сотруднику.

Я не разработчик — мне это грозит?

Если на вашей машине стоят ИИ-инструменты — да, грозит. Тренд 2026 года — агенты заходят в обычные приложения, и кейс Postman точно будет не последний.