Postman が Claude Code と Codex に入れたプラグインの確かめ方: Superset も、開いただけでフックが11個

2026年11月10日

あなたの Claude Code にも、入れた覚えのないプラグインやフックが入っているかもしれません。Postman のデスクトップアプリを更新しただけなのに、Claude Code と Codex にプラグインが入っていた、という報告が2026年10月末から相次ぎました。Codex では、起動時のフックの許可まで済んだ状態だったと報じられています。

私は Postman を使っていないので、関係ないと思っていました。ところが、並列で作業するアプリの Superset を試しに起動すると、5秒後には Claude Code の設定にフックが11個増えていました。

ほかのアプリが足したものは、どこを見れば見つかるのでしょうか？そこで、Claude Code と Codex の設定ファイルを1つずつ開いて、確かめてみました。

環境

macOS 26.6.2
Claude Code 2.1.309
Codex CLI 0.166.0
Superset 1.37.0(閉じたあと 2.0.8 に上がった)
Postman は入れていない
2026年11月10日〜11日に確認

手順

どこに入るのかを、Postman の件で知っておく

最初の報告は、Postman のリポジトリの GitHub の Issue #14370 です。報告した人の Mac の記録では、10月24日に Postman 12.33.4 がプラグインを入れていました。

GitHub の postmanlabs/postman-app-support の Issue #14370

報道によると、入れられたのは次のものです。右の列が、この記事で見ていく場所です。

ツール	入ったもの	場所
Claude Code	`postman@claude-plugins-official` のプラグイン	`~/.claude/settings.json`、`~/.claude/plugins/installed_plugins.json`
Codex	Postman のプラグインの置き場、プラグイン、起動時のフックの許可	`~/.codex/config.toml`
Copilot CLI	同じようなもの	`~/.copilot`
Postman のコマンド	Postman CLI	`~/.local/bin`

Claude Code のフックを一覧にする

見るものは3つあります。フックは、Claude Code の動きの決まった時点(起動したとき、道具を使う前など)で、自動で動くコマンドです。プラグインは、スキルやフックなどをまとめて入れる包みです。スキルは、エージェントが読む指示の文とスクリプトです。どれも、入れると Claude Code の動きが変わります。

フックは ~/.claude/settings.json の hooks に並んでいます。次のコマンドで、登録されているフックのコマンドを1行ずつ出せます。

terminal$ jq -r '.hooks[][].hooks[].command' ~/.claude/settings.json

自分で入れた覚えのない行がないかを見ます。プラグインは ~/.claude/plugins/installed_plugins.json に並ぶので、postman のようにアプリの名前で探すのが早いです。

terminal$ grep -il postman ~/.claude/settings.json ~/.claude/plugins/installed_plugins.json

見覚えのないフックは、名前で出どころが分かる

手元では、Superset を起動したあと、$SUPERSET_HOME_DIR で始まるフックが11個増えていました。起動する前の控えと並べると、足された行がはっきり分かります。

VS Code で、起動前と起動後の settings.json を並べた画面

足されたフックは、どれも [ -n "$SUPERSET_HOME_DIR" ] && … で始まります。[ -n … ] は「その環境変数があるときだけ」という条件です。Superset の中で動かしたときだけ通知を送る形で、Superset の外で Claude Code を使うときは何もしません。害のない作りですが、入れた覚えのないフックが増えていることに変わりはありません。

スキルの置き場所も見る

フックだけでなく、スキルも増えていました。~/.claude/skills/superset に、orchestrate や page などのスキルが13個と、コマンドが1つ入っています。

VS Code で開いた ~/.claude/skills/superset のフォルダー

入っている間は、Claude Code のスキルの一覧に superset: で始まるスキルが13個並んでいました。

terminal$ ls ~/.claude/skills

Codex の設定とフックを見る

Codex は、プラグインとフックの許可を ~/.codex/config.toml に、フックを ~/.codex/hooks.json に書きます。

terminal$ jq -r '.hooks[][].hooks[].command' ~/.codex/hooks.json
$ grep -in postman ~/.codex/config.toml ~/.codex/hooks.json

手元の hooks.json には、Superset のフックが9個足されていました。今のファイルと、Superset が書き込んだあとの控えを並べると、SUPERSET_HOOK_HARNESS=codex の付いたフックが増えているのが分かります。

VS Code で、Codex の hooks.json を前後で並べた画面

Postman の名前は、どちらのファイルにも出てきませんでした。

ほかのツールの設定の場所も見る

Superset は、Claude Code と Codex のほかにも書き込んでいました。起動のログには [agent-setup] Updated Gemini settings.json のような行が並び、ホームには使っていないツールのフォルダーが新しくできていました。

terminal$ ls -d ~/.gemini ~/.grok ~/.factory ~/.agents ~/.cursor/hooks.json

フォルダーが作られた日時は、stat で分かります。アプリを起動した時刻と同じなら、そのアプリが作ったものです。

terminal$ stat -f '%SB %N' ~/.gemini ~/.grok ~/.agents

手元では、Superset を起動した5秒後に、12個のフォルダーと ~/.superset ができていました。どれも、私が使っていないツールの設定の置き場所です。下は、できたフォルダーの一覧です。

Superset が作ったフォルダーを移した控え

Postman の件では、Copilot CLI(~/.copilot)と、Postman のコマンド(~/.local/bin)も見ておきます。

入っていたら、入れたアプリの手順か手で外す

Postman のドキュメントには、npx @postman/postman-plugin に status を付けると見つかったエージェントと入っている場所が、remove を付けると外せると書かれています。Postman の分が入っていたら、まず status で場所を確かめてから、remove で外します。

Postman のドキュメントの Install the Postman plugin into detected agents のページ

Superset の分は、手で外しました。settings.json と hooks.json から SUPERSET_HOME_DIR を含むフックだけを消し、~/.claude/skills/superset と、新しくできたフォルダーを移しました。外したあとのフックは、起動する前の控えと同じになりました。

注意点

外しても、アプリを使うとまた入ることがある

Postman は11月5日に GitHub で、この変更を元に戻すと答えています。ただし、すでに入ったものは自動では消えません。Superset は起動したときに設定を書き込んでいたので、使い続けるなら、更新や起動のあとに上の場所をもう一度見ておきます。

閉じても、裏のプロセスが残ることがある

Superset は、窓を閉じたあともしばらく動き続け、終わったあとも裏のプロセスが1つ残っていました。設定を戻す前に、アクティビティモニタでアプリのプロセスが残っていないかを見ておきます。

起動時のフックは、毎回エージェントに指示を渡す

報道によると、Postman が入れた起動時のフックは、会話のたびにエージェントへ「API の作業では Postman のスキルを読む」ように伝えていました。外すまでは、頼んでいない手順が混ざることがあります。

まとめ

ほかのアプリが足したものは、Claude Code なら ~/.claude/settings.json のフックと ~/.claude/skills、Codex なら ~/.codex/config.toml と hooks.json を開けば見つかりました。Postman を入れていなくても、Superset を起動しただけで、フックが11個とスキルが13個増えていました。

エージェントと連携するアプリを入れたら、起動したあとに一度、上の jq でフックの一覧を出してみてください。