Un desarrollador denunció que Postman añadió plugins a Claude Code y Codex sin permiso. Esta guía explica cómo auditar tus agentes y recuperar el control.
Un desarrollador contó que, tras abrir la aplicación de escritorio de Postman, comprobó que se habían instalado plugins en dos de sus agentes de programación, Claude Code y OpenAI Codex, sin que él lo autorizara. The New Stack recoge el caso y la persona afectada lo reportó el 25 de octubre. No vamos a opinar sobre las intenciones de nadie: esta guía trata de cómo revisar qué hay instalado en tus agentes y cómo reducir sorpresas.
Lo que necesitas
Para seguir la guía solo hace falta acceso a tu equipo de desarrollo, una terminal y los agentes que uses (en el caso original, Claude Code y Codex). Conviene tener a mano la documentación de Postman sobre agentes detectados, que explica cómo la herramienta reconoce los agentes presentes en el sistema.
También es útil saber dónde guarda cada agente su configuración. Las rutas exactas dependen del agente, del sistema operativo y de la versión, así que no damos aquí ninguna como universal: consulta la documentación oficial de cada herramienta antes de borrar o modificar nada.
- Haz una copia de seguridad de las carpetas de configuración de tus agentes antes de tocar nada.
- Lista los plugins, extensiones o hooks que cada agente tiene instalados y compáralos con lo que recuerdas haber añadido tú.
- Identifica los que no reconozcas y averigua qué aplicación o proveedor los registró, leyendo su documentación o su código si es público.
- Decide caso por caso: conservar, desactivar o eliminar, y anota el motivo.
- Vuelve a abrir la aplicación sospechosa y comprueba si recrea los cambios; si lo hace, busca una opción de desactivación o consulta al proveedor.
Cómo inspeccionar lo que hay instalado
El mecanismo concreto varía por agente. En el caso de Codex, el comportamiento del instalador de Postman puede leerse en su código fuente, lo que permite comprobar de primera mano qué toca y dónde, en lugar de fiarse de suposiciones.
# Copia de seguridad previa (ajusta las rutas a tu agente)
cp -r ~/RUTA_CONFIG_AGENTE ~/RUTA_CONFIG_AGENTE.bak
# Compara después de abrir una aplicación sospechosa
diff -r ~/RUTA_CONFIG_AGENTE.bak ~/RUTA_CONFIG_AGENTEHacer un diff antes y después de abrir una aplicación te dice con exactitud qué archivos cambiaron. Sustituye RUTA_CONFIG_AGENTE por la carpeta real que documente tu agente; los nombres del ejemplo son marcadores, no rutas verificadas.
Reducir la superficie a partir de ahora
Revisa las preferencias de cualquier aplicación de escritorio que se integre con tus herramientas de programación y desactiva la detección automática de agentes si existe esa opción. Y repite la auditoría cada vez que actualices una aplicación grande: las integraciones suelen llegar con las versiones nuevas.
Si te interesa profundizar en la parte defensiva, las rutas de aprendizaje de ciberseguridad y DevSecOps de roadmap.sh dan un buen mapa de conceptos. Y para ver cómo otros equipos están ajustando su relación con estas herramientas, tienes este análisis sobre desarrolladores que rebajan la autonomía de su IA a propósito.
Artículos relacionados de LaRebelión
Guía: evalúa el arnés de agentes de Copilot en Foundry antes de adoptarlo
Guía: prepara tu UI Android para agentes de IA con Jetpack Compose
Guía: cómo preparar a tu equipo para delegar trabajo en agentes de IAFuente original: thenewstack.io
Artículo generado mediante AI.larebelion
Publicar un comentario