Personal Agent Protocol徹底解説:企業が知っておくべきこと

Personal Agent Protocolは、個人のAIアシスタントが企業のWebサイト、API、サポートエージェントにどう入り、入った後に企業が何を許可するかを定めたドラフト標準です。SierraとMetaが、Stripe、Shopify、Walmartなどのパートナーとともに発表し(Sierraの発表)、数日後にはPoppyの愛称で呼ばれる最初のドラフトが公開されました(Sierraによるドラフト解説)。今すぐ有効にできる製品ではありません。

企業の運営者にとっての要点はこうです。壊れるものも、必須になるものもありません。ただ、AIアシスタントはすでに顧客の代理としてサイトを訪れており、このドラフトは、その訪問のあり方に企業が口を出せるようにする初の本格的な試みです。今のうちに全体像を把握するのに必要なのは1時間ほど。無視すれば、その場しのぎのボット対策ルールに数年間振り回されるかもしれません。

この記事では、ドラフトが何を定義しているか、MCP、A2A、コマース系プロトコルとの違い、参加した企業としていない企業、そして今すぐやる価値のあることを短いリストにまとめて紹介します。

公開されている内容と、そうでない内容

公開されているのは3つです。パートナーと設計目標を示したSierraの発表、Apache 2.0ライセンスで公開されたDraft 0.1の仕様書(仕様書)、そして設計ワークショップとリファレンス実装の予告です。ただし後者2つは、本記事のために確認した情報源では見つかりませんでした(Sierra)。

まだ公開されていないのは、本番運用している企業名、運営組織、そして決済に関する確定的な答えです。発表当時、運営組織もライセンスも確認できないという報道がありました(FourWeekMBA)。ライセンスについては、その後ドラフト自体が答えを出しました。運営組織については、確認したページでは明らかになっていません。

つまり、有力な支援者がついた提案段階のものと捉えるべきです。Metaは野心をメールになぞらえて語っています。「メールが普及したのは、アドレス指定、メッセージの転送、配信について皆が合意したからです。誰のものでもなく、誰でもその上に構築できます」(VKTR)。ただしメールも普及までに何年もかかり、その間、多くの企業が独自のおかしなメールルールを運用していました。ここでも同じようなつぎはぎ状態になるはずで、先行採用した企業が、後続が真似る慣例を作っていくでしょう。

問題点:全面ブロックか、パスワードを渡すか

プロジェクトのサイトは、現状の選択肢をはっきりと述べています。企業がエージェントを完全にブロックするか、エージェントがユーザーの全認証情報でサインインし、ユーザーにできることを何でもできてしまうかのどちらかです(personalagentprotocol.org)。どちらも望ましくありません。ブロックすれば、エージェントを送り出した顧客を不快にさせます。フルアクセスは、セキュリティレビューで問題になるのを待っているようなものです。

ブロックは現実に起きています。発表をまとめた記事では、エージェントをブロックしているサイトとしてAmazon、Delta、United、Zillow、eBayが挙げられ、Cloudflareのボット対策ポリシーが一部のエージェントを誤って弾いたことにも触れています(AI Weekly)。Stripeのケビン・ミラー氏は顧客側の立場をはっきり述べています。エージェントを送り出す人は「自分自身が受けるのと同じサービスを期待している」のです(Unite.AI)。

ドラフトの答えは段階的なはしごです。サイトではホテルを例にしています。エージェントをブロックする、どのエージェントにも客室検索を許可する、サインイン後に予約状況の閲覧を許可する、本人がその都度承認したときだけ予約を許可する、フルアクセスを与える、という段階です。段階はアクションごとに選べます。

肝心なのは中間の段階です。多くの企業は、エージェントに自由な閲覧や読み取りは認めつつ、変更は人間が了承したときだけにしたいと考えるでしょう。

セッションの仕組み

企業は /.well-known/poppy.json にファイルを公開し、エージェントがどう接続できるかを示します。エージェントはそれを読み、(誰もサインインしていなければゲストとして)セッションを開始し、さらに必要になったら、本人をOAuthベースのサインインに誘導します(Sierra)。ドラフトが挙げるサインイン方式は3種類です。本人が企業のページでサインインするdirect、別のデバイスでコードを使うdevice、エージェント自身が認証情報を送信するmediatedです(仕様書)。

セキュリティ担当者に重要な点が2つあります。セッショントークンは有効期間が短く、DPoPで鍵に紐づけられます。また、エージェントはトークンをURLに含めて送ってはならず、企業もURL内のトークンを受け付けてはならないとドラフトは定めています。弱点も認めています。「Personal Agentから認証情報を受け付けると、企業の責任はより重くなります」(仕様書)。

もう1つ知っておきたいのは、1つのトークンですべてをカバーできるという考え方です。Sierraによると、同じトークンが企業のAPI、Webサイト、企業のエージェントとの会話で使えます(Sierra)。サインイン前にした質問も、サインイン後に変更した注文も、1回の訪問として扱われます(The Next Web)。

3つの入り口と、あなたの選択

すべてを作り込む必要はありません。エージェントが企業に到達する方法は選べます。Webサイト経由、OpenAPIやMCPサーバーで記述したAPI経由、あるいは会話用の自社エージェント経由です。優れたAPIを持つ小売業者は、ブラウジング経路を省けます。Webサイトしかない小規模な店は、そこから始められます。

会話経路には、顧客に歓迎されそうなルールが1つあります。各メッセージが人間とAIのどちらによるものかを明示することで、ドラフトには人への引き継ぎも含まれています。すでにカスタマーサポートのボードにあるようなサポートエージェントを運用しているなら、最初に影響を受けるのはこの経路です。

MCP、A2A、ACP、AP2との関係

どれも置き換えるものではなく、競合するものと読むべきでもありません。担う役割が違い、ドラフト自体もMCPを活用しています。

上の構成図は公式のものではなく、当サイトの解釈です。簡潔に言えば、MCPはエージェントがツールを呼び出す方法、A2Aはエージェント同士が会話する方法、ACPとAP2は支払い、そしてこのドラフトは入口を通って認識されるための仕組みです。決済は将来の拡張として挙げられているので、現時点のチェックアウトはACPやAP2のようなもので行うことになります。議論を呼びそうな重複はMCPです。ドラフトも通常のMCPサーバーも、企業のアクションを公開できるからです。

アクセス面には競合もあります。Visaは今年初めに開始したTrusted Agent Protocolを運営しており、The Next Webは、StripeとShopifyがすでに参加していると報じました(The Next Web)。VisaはPersonal Agent Protocolのデザインパートナーにも名を連ねているため、両者は真っ向から競合するのではなく重なり合う可能性があります。業界が1つの標準に収れんするのか、2つになるのかは未定です。

参加企業と不在の企業

発表では、SierraとMetaに加えてGenesys、Instinct、Rocket、Shopify、Stripe、Walmartの名前が挙がりました(Sierra)。ドラフトの投稿ではこの最初のグループにNiCEも加わり、さらに35社のデザインパートナーが挙げられています。Adyen、Bank of America、BBVA、Cloudflare、Mastercard、OpenAI、PayPal、Target、United Airlines、Visa、Wells Fargoなどです。Sierraは、これらの企業が設計プロセスに参加するとしていますが、それは対応製品を出荷することと同じではありません(Sierra)。この点は当初の報道とは変わっています。発表当日の報道ではOpenAIの不在が指摘され、Sierraの共同創業者であるブレット・テイラー氏がOpenAIの取締役会長を務めていることも触れられていました(AI Weekly)。

Amazon、Anthropic、Googleは、発表時にもドラフトの投稿にも、パートナーとして挙がっていません。リストにないからといって不参加の証拠にはならないので、引用する前にSierraのページを再確認してください。Claude、ChatGPT、Perplexityはいずれも個人エージェントの有力候補で、主要なアシスタントの支持がなければ、この標準は企業側のチェックリストにとどまります。発表当日、The Next Webは、欧州の小売、銀行、決済企業が1社も挙がっていないと指摘していました(The Next Web)。現在の拡大されたリストにはBBVAとAdyenが含まれています。

開発者とマーケターにとっての意味

開発者にとっては話がわかりやすいです。すでにOAuthとOpenAPIの記述があるなら、API経路にはほぼ対応できています。ドラフトのトークン規則(短寿命、鍵への紐づけ、URLに含めない)も、ごく普通のグッドプラクティスに見えるでしょう。新たに必要なのは、ディスカバリーファイルとスコープの決定です。

マーケターには計測の問題が生じます。現状では、顧客のために料金ページを調べているエージェントは、ボットに見えるか、そもそも記録に残りません。エージェントとその背後の顧客を識別するセッションがあれば、そのトラフィックを数え、スクレイパーとは区別して扱えるようになります。それが朗報かどうかは、エージェントに自社をどう語らせたいかによります。これは技術の問題であると同時に、コンテンツの問題でもあります。

企業が今できること

以下のどれも、このプロトコルを必要としません。ドラフトが主流になってもならなくても役に立ちます。

1. 1ログとボット対策ツールを確認し、すでにどのエージェントのトラフィックが届いているかを把握しましょう。Cloudflareを使っているなら、顧客の代理で動くエージェントにそのボットルールがどう作用するかを確認してください。
2. 2アクションごとに、エージェントが読み取ってよいものと変更してよいものを書き出しましょう。上のはしごを使います。閲覧、アカウント表示、承認を得て操作、の順です。
3. 3顧客が標準的なOAuthフローでサインインできることを確認しましょう。エージェントはこれに頼ることになります。
4. 4主要なアクション(注文状況、返品、予約)を、文書化されたAPIかMCPサーバーの背後に置きましょう。きちんと記述されたOpenAPIファイルは、どのみち持っておく価値があります。
5. 5Shopifyで販売しているなら、自前で作るのではなく、プラットフォームが提供するものを見守りましょう。
6. 6ドラフトの動向を追う担当者を1人決めましょう。仕様書のOpen topicsページは、更新されたときに読んでください。

下のスコアラーは、このリストを簡単なセルフチェックにしたものです。当サイト独自のチェックリストで、プロトコルの一部ではありません。

まだ気にしなくてよいのは、ログイン機能もAPIもサポートエージェントもない企業です。公開するものがありません。カスタマーサービスを担う立場なら、最も近い比較対象はすでに運用しているAIエージェントでしょう(Sierra AI Agentsもその1つで、AIサポートチャットボットのボードには他の例も載っています)。関連記事は、AIエージェントプラットフォーム購入ガイドとAIエージェントのトップボードです。

未解決の問題

アイデンティティ。 ドラフトでは、企業がエージェントの登録を求めたり、クライアントIDごとに許可リストやブロックリストを持ったり、プロトコルを悪用したクライアントIDを失効させたりできます(仕様書)。誰がエージェントを保証するのか、小規模な店がどう確認するのかは、各企業に委ねられています。発表時点では、エージェントがどう身元を証明するかの詳細はないと報じられていました(FourWeekMBA)。仕様書には、信頼できるエージェントの共有レジストリは記載されていません。

同意。 directサインインでは、要求されたスコープが表示され、本人は一部、すべて、またはなしを選んで承認できます。これは良い点です。未解決なのは、エージェントがどのくらいの頻度で確認を求めるのか、そして人が確認をよく読まずにクリックしてしまわないか、という点です。

責任。 エージェントが誤ったフライトを予約したら、誰かが費用を負担することになりますが、仕様書は誰なのかを定めていません。責任については一切触れていません。後回しにされている決済についても同様です。

スパムと悪用。 企業はクライアントIDごとにセッション作成をレート制限できます。ID を使い回して切り替えるエージェントに対してそれが通用するかどうかは、まだ検証されていません。

よくある質問

Personal Agent Protocolはすでに稼働していますか?

出荷済みの標準としては稼働していません。Draft 0.1の仕様書は公開されており、Sierraはワークショップとリファレンス実装を約束しています。確認した情報源では、本番運用している企業名は挙がっていませんでした。

MCPを置き換えるものですか?

いいえ。企業がアクションを公開する方法の1つとしてMCPを挙げています。MCPはAIアプリをツールにつなぐものです。このドラフトが扱うのは、エージェントが誰であり、特定の企業で何をしてよいかです。

poppy.jsonファイルを公開する必要はありますか?

今はまだ必要ありません。ドラフトでは、ディスカバリーのために企業が公開するとされていますが、仕様が安定してエージェントが読み取り始めるまで、誰も公開する必要はありません。有益なのは、その土台となる意思決定を準備しておくことです。

AIエージェントを今後もブロックできますか?

はい。ブロックははしごの最初の段階です。ドラフトの売りは、ブロックとフルアクセスの間に選択肢が持てることです。

決済には対応していますか?

ドラフトでは対応していません。Sierraは、カード情報を共有しない決済を将来の拡張として挙げています。今日のチェックアウトには、ACPやAP2を検討してください。

誰が管理していますか?

ドラフトはApache 2.0で、SierraがMetaとともに公開しました。公開されているページには運営組織が見当たらないため、長期的に誰が舵を取るのかは未定です。