Bezpieczeństwo agentów kodujących AI: pluginy, MCP i łańcuch dostaw (2026)

Agent kodujący (Cursor, Claude Code, Codex, Copilot) czyta Wasze repozytorium, często ma dostęp do terminala i sekretów w środowisku. To nie jest zwykły edytor z podpowiedziami. W listopadzie 2026 roku użytkownicy zgłosili, że desktop Postmana w wersjach z linii 12.33–12.35 sam instalował pluginy i CLI do Claude Code, Codex, Cursor i Copilot przy aktualizacji u zalogowanych użytkowników macOS (auto-existing-upgrade w logach aplikacji; issue postmanlabs/postman-app-support#14370, raporty od 25.10.2026, odpowiedź Postmana o wycofaniu zmiany: 5.11.2026). Równolegle Vercel uruchomił publiczną betę Security Review (changelog 3.11.2026): przegląd podatności przy każdym pushu do GitHuba dla planów Pro i Enterprise, z zastrzeżeniem, że to nie zastępuje audytu ani testów penetracyjnych.

Ten tekst jest praktyczną checklistą dla zespołu, który buduje aplikację z agentami kodującymi albo przyjmuje kod z vibe coding. Nie jest poradą prawną ani pełnym audytem bezpieczeństwa. Jeśli szukasz kosztu budowy z narzędziami AI, jest osobny wpis: ile kosztuje zrobienie aplikacji z AI. Porównanie narzędzi do automatycznego przeglądu kodu AI: Automated AI Code Audit Services Compared.

Bezpieczeństwo agentów kodujących w skrócie

• Traktuj plugin, MCP i hook agenta jak oprogramowanie w łańcuchu dostaw: skąd pochodzi, kto je zaktualizował, jaki ma dostęp.
• Po każdej aktualizacji narzędzi desktopowych sprawdź globalne configi agentów (~/.codex, ~/.claude, ustawienia Cursor/Copilot), nie tylko listę rozszerzeń w IDE.
• Sekrety trzymaj poza promptami i poza historią czatu: menedżer sekretów, krótkie tokeny, osobne konta serwisowe z minimalnymi uprawnieniami.
• Kod wygenerowany przez AI weryfikuj jak kod juniora na produkcji: testy, przegląd diffu, skan zależności i reguły dostępu do danych (np. RLS w Supabase).
• Automatyczny review (Vercel Security Review, Snyk, Semgrep, CodeRabbit) przyspiesza wykrywanie typowych dziur, ale nie potwierdza, że aplikacja jest bezpieczna.

Co właściwie ma dostęp agent kodujący

Zależnie od narzędzia i ustawień agent może:

• czytać i zmieniać pliki w workspace (czasem też poza nim, jeśli pozwolicie),
• uruchamiać polecenia w terminalu,
• łączyć się z MCP (Model Context Protocol): lokalnymi albo zdalnymi serwerami narzędzi,
• ładować pluginy i „skills” z marketplace albo z gita,
• dostawać kontekst z hooków startowych (tekst wstrzyknięty na początku sesji).

Im więcej z tego włączysz „dla wygody”, tym większa powierzchnia ataku. MCP i pluginy to w praktyce programy z uprawnieniami agenta. Opis protokołu: MCP: co to jest. Skills jako paczki instrukcji: Agent Skills / SKILL.md.

Case: autoinstalacja pluginów Postmana (X–XI 2026)

Zgłoszenie na GitHubie (issue 14370) i kolejne potwierdzenia użytkowników opisują ten sam wzorzec:

1. Otwierasz istniejącą, zalogowaną instalację Postmana na macOS; aplikacja się aktualizuje.
2. W main.log pojawia się auto-existing-upgrade z wynikami w stylu claude-code:installed, codex:installed, czasem cursor:already-installed.
3. W globalnych configach agentów lądują marketplace Postmana, wpisy pluginów, czasem MCP wskazujący na https://mcp.postman.com/mcp, a w Codexie hook SessionStart z instrukcją, by przy zadaniach API ładować skill Postmana.
4. W jednej z wersji instalator próbował też zatwierdzić własny hook (self-approval) przez API zaufania hosta.

Postman najpierw tłumaczył to ułatwieniem setupu, potem (5.11.2026) zapowiedział przeprojektowanie zgody i wycofanie tej zmiany. Niezależnie od intencji lekcja dla zespołu jest prosta: aktualizacja niepowiązanego narzędzia desktopowego może zmienić zachowanie Waszego agenta kodującego bez osobnego „tak” w tym agencie.

Szybki self-check po aktualizacjach (ścieżki orientacyjne, macOS/Linux):

• ~/.codex/config.toml oraz katalog pluginów/cache Codex,
• ~/.claude/settings.json i ~/.claude/plugins/,
• ustawienia pluginów Cursor i ~/.copilot/ (jeśli używacie Copilot CLI),
• nieznane binarki w ~/.local/bin (np. CLI doinstalowane „przy okazji”),
• nowe serwery MCP i hooki SessionStart / PreToolUse.

Jeśli czegoś nie instalowaliście świadomie: wyłączcie, usuńcie, zróbcie rotację tokenów, które agent mógł widzieć.

Inne typowe dziury przy vibe coding

Vercel Security Review (beta od 3.11.2026) odpala się na push do podłączonego GitHuba i wrzuca findingi do dashboardu oraz jako check na commit. Fixes proponowane przez Vercel Agent i tak wymagają Waszej akceptacji PR. To dobry sygnał wczesny, nie zielone światło na produkcję. Cennik w beta: wg changeloga darmowe przeglądy do 10.11.2026, potem wg stawek Vercel Agent (inference + Vercel Token Rate).

Checklista przed oddaniem aplikacji z AI do użytkowników

1. Lista włączonych MCP, pluginów i skills (projekt + global).
2. Kto może zmieniać te listy (tylko lead, nie „każdy z agentem”).
3. Sekrety: rotacja po każdym podejrzeniu, brak długich kluczy w plikach lokalnych współdzielonych z agentem.
4. Osobne środowiska: lokal / staging / prod; agent nie dostaje prod write „na skróty”.
5. Testy na ścieżkach auth, uprawnień i płatności napisane albo sprawdzone przez człowieka.
6. Skan zależności i (opcjonalnie) automatyczny review na każdym PR.
7. Plan na wyciek: kto wyłącza klucze, kto sprawdza logi dostawcy modelu.

Kiedy potrzebny jest audyt, a nie tylko skaner

Skaner łapie typowe CVE i wzorce. Audyt albo przegląd ekspercki ma sens, gdy:

• aplikacja przetwarza dane osobowe albo płatności,
• kod powstawał głównie z agentem i nikt nie robił systematycznego review,
• wpinacie agentów operacyjnych (zapis do CRM/ERP), nie tylko czat,
• klient albo ubezpieczyciel wymaga dowodu kontroli ryzyka.

Porównanie usług i narzędzi automatycznych (ceny odczytane 4.11.2026): Automated AI Code Audit Services Compared (2026).

Najczęstsze pytania

Czy Cursor / Claude Code / Codex są bezpieczne dla firmowego kodu?

Same w sobie są narzędziami z dużymi uprawnieniami. Bezpieczeństwo zależy od tego, co im podłączycie (MCP, pluginy), jakie sekrety widzą i czy diff przechodzi przez człowieka. Traktujcie je jak dostęp do repozytorium dla nowego członka zespołu z terminalem.

Co sprawdzić po aktualizacji Postmana albo innego narzędzia API?

Globalne configi agentów, listę pluginów, hooki startowe, MCP i nowe CLI w PATH. Jeśli coś doszło bez Waszej decyzji: usuńcie i rozważcie rotację tokenów.

Czy Vercel Security Review zastępuje audyt bezpieczeństwa?

Nie. Changelog Vercela mówi wprost: analizuje kod źródłowy, nie jest audytem ani testem penetracyjnym i nie gwarantuje braku podatności.

Jak ograniczyć ryzyko przy vibe coding w małym zespole?

Wąskie uprawnienia MCP, staging zamiast prod, obowiązkowy review na auth i danych, lockfile, skaner na PR, short-lived tokens. Im mniej „wygodnych” globalnych pluginów, tym mniejszy łańcuch dostaw.

Czy agent może wyciec sekretów do dostawcy modelu?

Tak, jeśli sekret trafi do kontekstu (plik, log, wklejka). Ustawienia retencji i treningu zależą od planu dostawcy. Nie polegajcie na domyślnych opcjach konsumenckich w projekcie firmowym.

Budujesz aplikację z AI i chcesz spokojniej wyjść na produkcję?

Buduję MVP, agentów AI i aplikacje mobilne/webowe: warsztat, spisany zakres, sprinty co dwa tygodnie. Projekty od 10 000 zł netto, bez górnej granicy. Jeśli macie kod z agentów i potrzebujecie uporządkować auth, dane albo integracje przed startem, napiszcie. Powiązane usługi: MVP, agenci AI, wdrożenie AI.

Źródła

Odczyt 6.11.2026.

1. GitHub, postmanlabs/postman-app-support#14370 (otwarte 25.10.2026, zamknięte 5.11.2026): logi auto-existing-upgrade, wpływ na Claude Code / Codex / Cursor / Copilot; komentarz Postmana o wycofaniu zmiany
2. Notebookcheck / AI/TLDR, relacje z incydentu Postmana (listopad 2026)
3. Vercel Changelog, Security Review now in public beta (3.11.2026): zakres, limity, billing, darmowy okres do 10.11.2026
4. Cooper daily briefing (sent.tsv 4–5.11.2026): Postman plugins, Vercel Security Review, Claude teams auto-connect Supabase
5. Własne materiały: MCP, Agent Skills, aplikacja z AI: koszty, AI code audit services