Codex 與 Postman 的資料分享設定被抓包，AI 工具上線前多了一道檢查

從這週起，團隊導入任何 AI 工具前，建議多做一件事：把資料分享的開關逐項檢查一遍，包括更新之後。 Hacker News 上這週有兩則討論。第一則是 OpenAI 的 Codex 聊天介面，被發現「改善模型」的資料分享設定又回到啟用狀態，許多當初為了防止 IP 外洩而手動關掉的用戶，並不知道設定變了。第二則是 Postman，開發者回報它在沒有明確同意的情況下自動安裝 AI 相關外掛，並嘗試分享使用者的所有 API 資料。這兩件事目前都來自社群回報，OpenAI 與 Postman 各自怎麼說，我還沒看到完整回應，所以先把它當成「被回報的事實」。 Postman 裡放的是什麼？API 端點、token、內部服務的請求格式，等於一間公司後端的施工圖。Codex 對話裡放的則是還沒上線的程式碼。這兩種資料，是企業最不想讓外部看到的一類。 從投資人的角度，我會看這件事對採購流程的影響。過去企業買 AI 工具，比的是模型準不準、一個 task 多少錢。接下來資安與法務會多問一題：設定被改動時，誰會通知我？這就像租房子，你不只看租金，也要確認房東會不會哪天自己配了一把新鑰匙。能把「預設不收資料、改設定一定通知」寫進合約的廠商，在企業標案裡會比較占優勢；做不到的，客戶可能先把工具鎖在沙盒裡再說。 這對靠資料飛輪成長的公司尤其敏感。對話資料能讓模型變好，但只要企業客戶開始逐項審核開關，每一筆「預設開啟」的資料，成本都會變成客戶的信任。 我的預期是，下一輪企業 AI 採購清單裡，「資料分享設定的變更紀錄」會變成固定欄位，跟 SOC 2 一樣常見。