요약
Postman 데스크톱 앱이 동의 없이 Codex와 Claude Code에 자사 AI 플러그인을 깔았다는 신고가 나왔습니다.
GitHub 사용자 indicava가 Postman 공식 이슈 트래커에 '심각' 등급으로 올린 글입니다. 오랜만에 맥에서 Postman 12.33.4를 열었더니 AI 코딩 에이전트의 설정이 바뀌어 있었다고 밝혔습니다.
왜 중요한가
- 데스크톱 앱 하나가 사용자 몰래 AI 코딩 에이전트의 동작을 바꿀 수 있다는 점이 드러났습니다.
- 설치 코드가 자기가 넣은 훅(에이전트가 시작될 때 자동 실행되는 명령)을 스스로 승인하도록 되어 있었습니다.
- 신고자는 데이터 유출까지 확인하지는 않았지만, 원격 서버 연결이 몰래 추가된 것만으로도 회사 보안 우려가 나왔습니다.
핵심 내용
- Postman 로그에는 기존 사용자 대상 자동 업그레이드로 Codex와 Claude Code 플러그인을 설치한 기록이 남아 있었습니다.
- 추가된 훅은 API 설계, 테스트, 배포 같은 웬만한 API 작업에 Postman 스킬을 먼저 불러오라고 에이전트에 지시합니다.
- 원격 MCP 서버(에이전트가 외부 도구를 쓰게 해 주는 연결) 설정과 Postman CLI도 함께 깔렸습니다.
- 신고자는 기존 사용자 대상 자동 설치 중단, 훅 자체 승인 제거, 완전한 삭제 방법을 요구했습니다.
- 이슈에는 아직 Postman 측 답변이 없고, 앱을 지웠다는 사용자들의 댓글만 이어지고 있습니다.
HN 반응
- 작은 개발 도구가 4억 달러 넘는 투자를 받은 뒤 강제 로그인, 구독, AI 기능으로 몸값을 증명하려 한다는 비판에 많은 댓글이 동조했습니다.
- 기업 계약으로 버틸 것이라는 분석에, 클라우드 저장 강요 뒤 회사 차원에서 금지하고 다른 도구로 옮겼다는 경험담이 더해졌습니다.
Postman이 이렇게 된 게 안타깝네요. 처음에는 API 테스트용으로 아주 훌륭한 작은 개발자 도구였어요. 그런데 어째서인지 4억 달러가 넘는 투자를 받고 직원을 1,500명 넘게 뽑았죠. curl이나 little snitch처럼 작은 오픈소스 프로젝트, 아니면 열정으로 하는 프로젝트로 남았어야 할 물건인데 말이에요. 결국 기업가치를 정당화하느라 로그인 강제, 데이터 수집, 월 구독, AI 기능 같은 걸 밀어붙일 수밖에 없게 됐네요.
지금 쓰는 개발자를 단 한 명도 못 봤는데, 기업가치가 50억 달러가 넘는다는 건 여전히 이해가 안 됩니다.
이유는 알고 계시잖아요. 그 성장 덕분에 큰돈을 챙긴 사람들이 있고, 이제 그 사람들은 스트레스 받을 때 언제든 조기 은퇴(FIRE)해 버릴 수 있는 선택지를 갖게 됐으니까요.
그게 Y Combinator가 이용하고 부추기려고 존재하는 창업가 마인드이고, 그게 어디서나 통한다는 점이 21세기 기술 흐름과 GNU, 리눅스, curl, ffmpeg, redis 등을 낳은 괴짜 같고 학구적인 UNIX 계열 흐름을 가르는 차이입니다.
우리는 혁신적인 제품들이 헬륨을 가득 채운 풍선처럼 부풀다가 군더더기와 지대 추구로 터져 버리는 모습을 지켜봐야 했습니다. 다른 길로 갔다면 튼튼한 기술 구성 요소가 계속 쌓여 가는 토대를 가질 수 있었을 텐데 말이죠.
이제 AI가 우리를 새로운 흐름으로 이끌고 있습니다. 최악의 시나리오는 규제의 보호를 받는 몇몇 모델 업체가 기술적 성과를 거의 다 빨아들인 뒤 나머지 모두에게 도로 빌려주는 것이고, 최선의 시나리오는 기술적 구현이 너무나 널리 민주화되어서 개인이 아주 특이한 필요에 맞는 효과적인 해법을 순진하게 뚝딱 만들어 내는 것입니다.
어떻게 될지 지켜봐야죠.
UNIX 계열 흐름이 너무 그리워요 :(
맞아요. 용감한 반란군이 악의 제국을 상대로 거의 이겼는데, 어둠의 세력을 완전히 꺾지는 못했죠. 그들은 전열을 가다듬고 반란군의 도구를 거꾸로 자기들 무기로 삼았어요. 벤처 캐피털, 빅테크, SaaS, 하이퍼스케일러, AI의 힘은 너무 막강했습니다. 반란군이 결정적으로 패했다기보다는 서서히 침식되어서 결국 아무 영향력도 남지 않게 된 거죠.
반란군이 자기네 장비를 복사해서 어둠의 세력에 공짜로 바쳤으니 더 쉬웠겠죠.
MIT를 비롯한 비(非)카피레프트 라이선스는 실수였습니다. 2000년대와 2010년대에는 다들 자기 오픈소스의 사용량과 GitHub 스타 수에 너무 신경 쓰다가 전부 기업에 공짜로 갖다 바쳤고, 이제 와서는 불평할 자격도 없습니다.
그런 식으로 악용당한 프로젝트를 짚어 주실 수 있나요? 제가 보기엔 기업이나 대기업 연합이 만든 것도 많고, 그중 상당수는 Apache로 나왔어요. 반대로 카피레프트 소프트웨어는 시스템 전체를 끌고 들어가는 경우도 많이 보이고요.
MIT로 공개됐는데 GPL2였다면 커뮤니티가 싹텄을 만한 사례가 뭐가 있을까요?
공정하게 말하면, 끝내 빛을 못 본 프로젝트보다 한물간 프로젝트를 짚어 내기가 더 쉽죠.
글쎄요, OpenAI와 Anthropic이 MIT 라이선스 코드로만 학습시켰을 것 같지는 않은데요.
맞네요. Uber 모델이 있죠. '창업자가 하면 불법이 아니다.'
무슨 말씀이세요? GPL 라이선스는 진정한 자유가 아니에요! 기업이 사용자를 등쳐먹을 권리를 제한하잖아요! 그럴 순 없죠! VC 복권에 당첨될 만일의 가능성을 위해서라도 다른 라이선스를 쓰는 게 낫다고요.
기업의 악용에 맞서 싸우는 데는 대체로 동의합니다만, GPLv3의 안티 티보화(anti-tivoization) 조항은 방향이 좀 잘못됐다고 봅니다. 잠긴 하드웨어를 만드는 업체가 내 소프트웨어를 못 쓰게 막을 수는 있어도, 애초에 하드웨어가 잠기는 것 자체를 막지는 못하거든요.
하드웨어를 열어 줄 업체는 이미 알아서 열어 준다는 증거가 있습니다(reMarkable, SSH root 접근을 제공하는 Ubiquiti 등). 소프트웨어를 안 주는 방식으로 그 싸움을 하면, 그들이 자체 개발을 해 버려서 기여자 한 명을 잃을 뿐이고 모두에게 더 나쁩니다.
그립다고요? 리눅스가 전쟁에서 이겼고 오픈소스 소프트웨어는 어느 때보다 많아요. 이제 언어 모델까지 나왔으니 최고는 아직 오지 않았다고 생각합니다.
무슨 소리세요? Solaris/SunOS, DEC Ultrix/Tru64, AIX, HP-UX, Xenix 등등 전부 악덕 독점 기업 AT&T의 UNIX를 할아버지로 둔 것들이잖아요. UNIX는 뼛속까지 기업 물건이었어요.
기업 물건인 건 맞지만, DEC, (예전의) HP, Sun을 AT&T, IBM, Microsoft와 한통속으로 몰아가는 건 부당하다고 봅니다. 시장이 받아 주는 가격에 독점 소프트웨어와 하드웨어를 팔았다는 이유만으로요. 그쪽은 대체로 문서화도 잘 돼 있고 믿을 만했으니까요.
글을 정말 잘 쓰시네요. 감사합니다.
동의합니다... 이 말을 하려고 마지막 댓글까지 읽다가 다시 위로 올라왔어요.
저도 읽자마자 똑같은 생각을 했어요.
맞아요, 이분 정말 글 잘 쓰시네요.
알고는 있었지만 딱 집어 말하지 못했던 걸 대신 말해 준, 아주 잘 쓴 답글입니다.
B2B 덕분일 수도 있겠네요. 이런 사업은 대개 CTO를 구슬려서 거액의 계약을 따내고, 그다음에 사내 사용을 의무화하게 만드는 걸로만 먹고삽니다. 경험에서 하는 말입니다.
저는 Postman이 (잘못) 구축되어 있던 회사에서 일한 적이 있는데, 개발자가 아닌 사람이나 운영팀을 포함해 회사 전체가 API 요청을 보낼 때 그걸 썼어요. 우리가 따로 도구를 개발하게 두지도 않고요... 다들 싫어했는데도 회사는 계속 돈을 냈습니다.
심지어 우리 CI 테스트 스위트도 Postman을 돌렸는데, 설정이 엉망이라 테스트 스위트가 실패하면 상태를 수동으로 고쳐 줘야 했어요. 안 그러면 Postman 상태가 꼬여서 전부 실패했죠.
그래도 계속 돈을 냈냐고요? 네, 당연히 냈죠.
아마 그럴 겁니다. 소름 끼치게 과하게 개인화된 AI 생성 마케팅 자료를 이메일로 엄청 보내면서 엔터프라이즈 계약을 하자고 해요. 우리 팀에서 Postman을 쓰는 동료들의 이름과 프로필 사진이 들어간 슬라이드 같은 것까지요. 정말 이상합니다.
요즘 이게 유행인 모양이에요. 멍청해지기가 이미 시작됐나 봅니다. 정상적인 마케터가 이런다고 좋은 리드가 생길 거라고 생각했을 리가 없으니까요. 똑같이 멍청해진 사람들을 노리는 게 아니라면요.
그쪽 수익원이 대단하길 바랍니다만, 제가 마지막으로 다닌 회사는 요청을 클라우드에 저장하도록 밀어붙인 뒤로 조직 전체에서 Postman을 금지했습니다. 사람들은 자동 업데이터를 뜯어낸 옛 버전 Postman을 쓰는 쪽, IntelliJ에 내장된 http 클라이언트를 쓰는 쪽, 그리고 SoapUI를 선호하는 몇몇 괴짜로 갈렸어요.
직원 1,500명이 이걸 가지고 "일한다"는 게 상상이 안 됩니다. 아니, 이건 한 사람이 만드는 프로젝트잖아요.
개발자 1명, 매니저 10명, C레벨 20명, 영업 1,468명, 바리스타 1명
딱 맞아떨어지네요.
그 인원이면 바리스타(Baristi)를 더 늘리셔야죠! 이런 규모의 조직에서 에스프레소가 병목이 되면 곤란하잖아요!
예전에는 콤부차 소믈리에도 있었는데 2023년에 정리해고됐어요.
농담인지 아닌지조차 모르겠네요.