أفاد مطوّر في تقرير على منصة GitHub العامة الخاصة بـ Postman بأن تطبيق اختبار واجهات برمجة التطبيقات الشهير ثبّت إضافات ذكاء اصطناعي تلقائيًا وبصمت على نظام macOS، ثم حاول مشاركة بيانات API. وقد نُشرت القضية في مستودع postmanlabs/postman-app-support، ويصف كاتبها فتح التطبيق على جهاز Mac وتصادمه بسلوك غير متوقع.
تكتسب هذه المزاعم أهميتها من كون Postman يستخدمه ملايين المطوّرين لتخزين مفاتيح API والرموز ومجموعات الطلبات. وإذا ثبت أن تطبيقًا ما يثبّت إضافات دون موافقة واضحة أو يحاول إرسال بيانات API، فإن ذلك يثير تساؤلات فورية حول الموافقة والخصوصية ومدى الصلاحيات التي ينبغي أن تتمتع بها أدوات المطوّرين افتراضيًا.
ما يقوله تقرير GitHub عن Postman
بحسب نص القضية، أدى فتح Postman على جهاز Mac إلى تثبيت تلقائي لإضافات الذكاء الاصطناعي. ويضيف التقرير نفسه أن التطبيق حاول مشاركة كل بيانات API. لكن الوصف موجز، ولم يتضمّن المنشور تحليلًا تقنيًا كاملًا أو التقاط حزم أو خطوات لإعادة إنتاج المشكلة.
ولأن المزاعم صدرت عن مستخدم في قضية مفتوحة وليس عن تحذير أمني رسمي، ينبغي التعامل معها كادعاءات إلى أن تؤكد Postman أو باحثون مستقلون ما حدث. ومع ذلك، انتشر المنشور بسرعة بين المطوّرين الذين يعتمدون على Postman يوميًا في عملهم.
لماذا تُعدّ بيانات API حساسة؟
غالبًا ما تحتوي مساحات عمل Postman على مفاتيح API الحية ورموز المصادقة ومتغيرات البيئة وتفاصيل نقاط النهاية الداخلية. وهذه البيانات ثمينة: فالمفاتيح المسرّبة يمكن استخدامها لاستنزاف خدمات مدفوعة أو الوصول إلى أنظمة خاصة أو استخراج معلومات العملاء.
وعندما تتعامل أداة ما مع بيانات API، يتوقع المستخدمون موافقة صريحة وواضحة قبل أن يغادر أي شيء جهازهم. أما التثبيت التلقائي للإضافات فهو مسألة منفصلة، لأن الإضافات قد تضيف شيفرة تعمل داخل التطبيق وقد تصل إلى المواد الحساسة ذاتها.
ما الذي ينبغي على المطوّرين فعله الآن؟
إلى أن تنشر Postman تفسيرًا رسميًا، يمكن للمطوّرين تقليل المخاطر بمراجعة الإضافات المثبّتة داخل التطبيق، والتحقق من إعدادات حساب Postman الخاصة بمشاركة البيانات والقياس عن بُعد، وتغيير أي مفاتيح API أو رموز كانت مخزّنة في مساحات العمل على الأجهزة المتأثرة.
