Postman instala plugins sin consentimiento

¿Hasta dónde llegarías para cambiar la hora del reloj de tu coche? Un conductor terminó consiguiendo acceso root al sistema de su Renault… solo para adelantar sesenta minutos. Ya les cuento cómo. Bienvenidos a The Automated Daily, edición Hacker News. El podcast creado por inteligencia artificial generativa. Soy TrendTeller y hoy es 4 de noviembre de 2026. Tenemos un episodio cargado: consentimiento y seguridad en herramientas de desarrollo, inteligencia artificial leyendo redes neuronales, el regreso triunfal de la cinta magnética, un tropiezo histórico para C++ y novedades en el navegador de Apple. Vamos allá.

Empezamos con una polémica que está dando que hablar entre desarrolladores. Un reporte publicado como issue sostiene que, al abrir Postman en macOS, la aplicación instaló por su cuenta plugins para Codex y Claude Code, modificó configuraciones globales de agentes y añadió hooks de arranque que desviaban hacia Postman cualquier tarea relacionada con APIs. Según el autor, los propios registros de Postman muestran una supuesta actualización automática para usuarios existentes, y el instalador incluso intentó darse permiso a sí mismo dentro de Codex. También denuncia que se activó una conexión MCP remota pese a que la autenticación no funcionaba, y que se instaló un binario de línea de comandos. La petición es clara: detener esas instalaciones automáticas, eliminar la autoaprobación de hooks, explicar el flujo de consentimiento y ofrecer una forma completa de revertirlo todo. El fondo del asunto importa: una aplicación no debería reconfigurar en silencio otras herramientas ni convertirse en el camino por defecto para tareas ajenas.

Root en un Renault para cambiar la hora

Y seguimos en terreno de seguridad, aunque con un tono bastante más simpático. El dueño de un Renault Latitude de 2014 descubrió que su sistema TomTom Carminat LIVE no le dejaba cambiar la hora tras el fin del horario de verano. El menú solo aparecía si insertabas una tarjeta de navegación legítima, verificada con DRM. En lugar de pagar por una tarjeta carísima, decidió hacer ingeniería inversa del aparato. Construyó un emulador, exploró el sistema de archivos y, tras varios intentos fallidos, encontró un fallo de path traversal en una función de registro. Con él sobrescribió una configuración del kernel de Linux que acabó ejecutando su propio código como root cuando un programa fallaba. Con acceso total, localizó el valor de la zona horaria y lo ajustó de ciento ochenta a ciento veinte minutos. Es un ejemplo perfecto de cómo decisiones de diseño oscuras y controles débiles pueden encadenarse hasta comprometer por completo el sistema de un coche.

Modelos que leen pesos neuronales

Pasamos a la inteligencia artificial, con una actualización de una historia que seguimos hace poco. Recordarán el trabajo sobre programación en el espacio de pesos, donde se explora si los modelos de lenguaje pueden interpretar redes neuronales directamente desde sus pesos. En un nuevo desarrollo, Simon Willison puso a prueba la versión más sencilla de la idea: ¿puede un modelo deducir qué hace una red solo mirando sus números, sin ejecutar nada? Usando Qwen de forma local en su portátil, el modelo identificó correctamente varios agentes entrenados para juegos como Pac-Man, Pong y Breakout. Tardó bastante y generó razonamientos larguísimos, pero acertó. Falló con Freeway, probablemente por ser un juego más oscuro. Willison concluye que los resultados son fascinantes, pero advierte que no justifican proclamar que el código fuente está obsoleto ni que la IA ya se edita a sí misma de forma transformadora.

Fujifilm quintuplica producción de cinta magnética

Ahora, algo que demuestra que lo viejo nunca muere. Fujifilm anunció una inversión de unos diez mil millones de yenes para multiplicar por cinco su capacidad de producción de cinta magnética. Sí, cinta. El motivo es, curiosamente, la inteligencia artificial generativa, que está disparando la necesidad de archivar enormes volúmenes de datos a largo plazo. La ampliación se centrará en las cintas LTO Ultrium10 más recientes y se extenderá durante los próximos años. Los centros de datos y proveedores de nube siguen confiando en la cinta porque es muy barata para almacenar cantidades gigantescas de información, y su naturaleza offline la convierte en una excelente defensa frente al ransomware. En plena era de la IA, una tecnología de décadas vuelve a ganar protagonismo.

Safari estrena modo oscuro adaptativo

De la nube pasamos al navegador. El equipo de WebKit de Apple presentó Adaptive Dark Mode en la beta de Safari 27.3. La función convierte automáticamente las webs claras en versiones oscuras cuando el usuario lo activa. La idea es cerrar la brecha entre la gran cantidad de personas que prefieren el modo oscuro y la escasa cantidad de sitios que realmente lo ofrecen. El sistema analiza los colores de la página, los invierte de forma selectiva y procura mantener la legibilidad y el contraste en textos, botones, íconos y logos. Deja intactas las webs que ya declaran soporte para modo oscuro y evita tocar elementos que podrían romperse. Está integrado en el motor del navegador por velocidad y privacidad, y los sitios no pueden detectar cuándo se aplica. Aun así, Apple recomienda a los desarrolladores añadir soporte propio con las herramientas estándar de la web.

C++26 suspende la votación ISO

Y cerramos con un momento histórico, de los que no gustan. El borrador de C++26 suspendió de forma inesperada la votación DIS de ISO el pasado 23 de octubre, lo que según el autor es la primera vez que esto ocurre en la historia del lenguaje. El principal motivo del rechazo fue el desacuerdo en torno a los Contracts, que varios organismos nacionales consideran que no están listos. Lo llamativo es que esta característica ya había pasado por años de discusión, fue eliminada de C++20, reelaborada y aprobada varias veces dentro del comité. El autor ve aquí un serio problema de proceso y de confianza, porque la estandarización depende del consenso. Entre las opciones están revisar y revotar, volver a la fase de comité, publicar una especificación técnica o incluso cancelar el proyecto. En resumen, el rumbo de C++26, y hasta de C++29, queda en el aire.

Guía interna de PostgreSQL actualizada

Para terminar con algo más tranquilo, los amantes de las bases de datos están de enhorabuena. El proyecto The Internals of PostgreSQL, de Hironobu Suzuki, se ha actualizado y ya cubre PostgreSQL 19-beta. Es una documentación extensa y detallada que explica el funcionamiento interno del motor: desde la arquitectura y el procesamiento de consultas hasta el control de concurrencia, el WAL, el vacuum o la replicación. Entre las novedades de este año figuran capítulos sobre entrada y salida asíncrona y replicación lógica. Si alguna vez quisieron entender de verdad cómo late PostgreSQL por dentro, es una referencia excelente y en constante evolución.

Y con esto cerramos el episodio de hoy. Entre instaladores demasiado atrevidos, coches hackeados por una buena causa y cintas magnéticas que se niegan a jubilarse, no faltó variedad. Los enlaces a todas las historias están en las notas del episodio, por si quieren profundizar. Soy TrendTeller, esto fue The Automated Daily, edición Hacker News. Nos escuchamos mañana.

Postman instala plugins sin consentimiento - Noticias de Hacker News (4 nov 2026)

Our Sponsors

Today's Hacker News Topics