Poppy拿出协议草案：个人Agent怎样获得商家授权

Agent协议 / 身份与授权 · 9.2/10 · 建议深挖

10月6日，Sierra、Meta等公司宣布准备制定个人Agent协议。10月9日公开的Poppy草案才让外界看到具体怎么做：商家在固定地址发布一份poppy.json，告诉Agent自己提供哪些服务、如何开始会话、何时需要用户登录。查询库存可以是访客会话；查看订单和办理退货，则由用户在商家自己的页面完成OAuth授权。协议把身份和权限带进商家网站、API，以及商家自己运营的Agent会话。

现有做法常把商家逼到两个极端：封住自动化访问，或者任由Agent像用户本人一样登录。Poppy试图把中间地带写成接口。商家可以允许一个Agent看订单而不能改付款方式；同一次办理过程中，即使从网页转到API，也用同一会话识别这个Agent和用户。它借用OAuth、短期JWT、OpenAPI和MCP等已有标准，真正新增的部分是把“谁替谁做、能做到哪一步”连成跨渠道约定。协议网站展示的v0.1草案还给出了发现文件和授权流程的例子。

Sierra宣布另外35家公司参与设计，包括支付、航空、通信和软件企业。名单说明商家有意讨论这套规则，却不代表35家已经上线，也无法证明不同Agent与商家之间可以稳定互通。参考实现还在计划中，实际的权限撤销、身份冒用和拒绝接入问题都要靠部署检验。值得跟进的是协议能否得到多方独立实现，而不只是把Sierra的客户服务场景标准化。