GitHub 上的用户报告称，Postman 在未明确告知的情况下自动安装 AI 相关插件，并存在将用户 API 集合数据上传至其服务端的行为，引发对开发者工具供应链信任的广泛讨论。API 集合往往包含内部接口地址、鉴权方式、示例请求乃至密钥，一旦被默认外传，等同于把企业内网拓扑与接口契约暴露给第三方。事件的核心争议不在 AI 功能本身，而在于默认开启、缺乏显式同意与可审计开关。对团队的实际建议是：审查 Postman 的遥测与 AI 设置，对敏感集合启用本地存储或迁移至 Bruno、Insomnia 等可自托管替代品，并在 CI 中禁止未经审批的集合同步。

📌 原文来源：Hacker News

🔗 阅读原文

内容基于公开资讯整理生成，仅供学习参考。