Postman installerait de l'IA sans te demander
Postman, c'est une application populaire que les développeurs utilisent pour bâtir et tester des API, les connexions entre logiciels. Les requêtes d'API contiennent souvent des clés et des mots de passe. Ce que Postman fait avec ces données, ça compte donc beaucoup.
Un signalement sur GitHub s'intitule « Postman silently auto-installs AI plugins and attempts to share all API data » (Postman installe des plugins d'IA en silence et tente de partager toutes les données d'API). C'est la nouvelle numéro un sur Hacker News aujourd'hui, avec 1 314 points et 447 commentaires. Attention : nos sources ne contiennent pas la réponse de Postman. Pour l'instant, vois ça comme un témoignage d'utilisateur.
Samedi, on parlait d'une extension officielle de Claude Code piégée avec un backdoor par des pirates. Ici, personne n'est accusé de piratage. L'inquiétude est différente : un outil de confiance qui ajoute de l'IA et déplace des données sans un oui clair de l'utilisateur.
Quand l'IA arrive par une mise à jour silencieuse, tes secrets peuvent partir avec. Si ton équipe utilise Postman, vérifie aujourd'hui ses réglages d'IA et ce qu'il synchronise, et change tes clés au moindre doute. Ensuite, pose une question simple à chacun de tes fournisseurs : qu'est-ce que tu as activé sans me le demander?
