Personal Agent Protocol 완벽 정리: 기업이 알아야 할 것들

Personal Agent Protocol은 개인의 AI 어시스턴트가 기업의 웹사이트, API, 상담 에이전트에 접근하는 방법과, 접근한 뒤 기업이 허용하는 작업의 범위를 정하는 표준 초안입니다. Sierra와 Meta가 Stripe, Shopify, Walmart 등 파트너와 함께 발표했고(Sierra 발표), 며칠 뒤 Poppy라는 별칭의 첫 초안이 공개되었습니다(초안에 대한 Sierra 글). 지금 당장 켜서 쓸 수 있는 제품은 아닙니다.

기업을 운영한다면 이렇게 보시면 됩니다. 깨지는 것도, 의무적으로 해야 할 것도 없습니다. 하지만 AI 어시스턴트는 이미 고객을 대신해 사이트를 방문하고 있고, 이 초안은 그 방식에 대해 기업이 목소리를 낼 수 있게 하려는 첫 본격적인 시도입니다. 개요를 파악하는 데는 한 시간이면 충분합니다. 반면 무시하면 즉흥적인 봇 규칙으로 몇 년간 혼란을 겪을 수 있습니다.

이 글에서는 초안이 정의하는 내용, MCP·A2A·커머스 프로토콜과의 차이, 참여한 곳과 빠진 곳, 그리고 지금 해볼 만한 일들을 짧게 정리합니다.

실제로 공개된 것과 아닌 것

공개된 것은 세 가지입니다. 파트너와 설계 목표를 밝힌 Sierra의 발표문, Apache 2.0 라이선스의 Draft 0.1 명세 초안(명세), 그리고 설계 워크숍과 레퍼런스 구현에 대한 약속입니다. 다만 워크숍과 레퍼런스 구현은 이 글을 쓰며 확인한 자료에서는 아직 나오지 않았습니다(Sierra).

아직 공개되지 않은 것은 실제 운영 중인 기업 사례, 거버넌스 기구, 결제에 대한 확정된 답입니다. 발표 당시 한 보도는 거버넌스 기구도 라이선스도 확인되지 않는다고 짚었습니다(FourWeekMBA). 라이선스는 이후 초안 자체로 해소되었지만, 거버넌스는 확인한 페이지에서는 여전히 답이 없습니다.

따라서 든든한 후원자가 있는 제안 정도로 보셔야 합니다. Meta는 이메일에 빗대어 포부를 밝혔습니다. "이메일이 확산된 건 주소 체계, 메시지 전송, 전달 방식에 모두가 합의했기 때문입니다. 누구도 소유하지 않고, 누구나 그 위에 만들 수 있습니다"(VKTR). 하지만 이메일도 자리 잡기까지 수년이 걸렸고, 그동안 많은 기업이 저마다 별난 메일 규칙을 운영했습니다. 여기서도 비슷한 누더기 상태를 예상해야 합니다. 초기 도입 기업이 관행을 만들면 나머지가 따라 하게 될 것입니다.

문제: 전부 차단하거나, 비밀번호를 넘기거나

프로젝트 사이트는 지금의 선택지를 직설적으로 설명합니다. 기업은 에이전트를 완전히 차단하거나, 에이전트가 사용자의 전체 자격 증명으로 로그인해 사용자가 할 수 있는 모든 일을 하도록 두는 수밖에 없습니다(personalagentprotocol.org). 둘 다 좋지 않습니다. 차단하면 에이전트를 보낸 고객이 불편해집니다. 전체 접근을 열어두면 보안 검토 사고가 터질 날을 기다리는 셈입니다.

차단은 실제로 벌어지고 있습니다. 발표를 정리한 한 글은 Amazon, Delta, United, Zillow, eBay를 에이전트를 차단하는 사이트로 꼽았고, 일부 에이전트가 의도치 않게 걸린 Cloudflare 안티봇 정책도 언급했습니다(AI Weekly). Stripe의 Kevin Miller는 고객 입장을 분명히 말했습니다. 에이전트를 보내는 사람들은 "자신이 직접 이용할 때와 같은 서비스를 기대한다"는 것입니다(Unite.AI).

초안의 해법은 단계별 사다리입니다. 사이트는 호텔 예시를 듭니다. 에이전트 차단, 어떤 에이전트든 객실 검색 허용, 로그인 후 예약 내역 조회 허용, 매번 본인 승인을 받아야 객실 예약 허용, 전체 접근 허용 순입니다. 작업마다 어느 단계로 할지 고르면 됩니다.

핵심은 중간 단계들입니다. 대부분의 기업은 에이전트가 자유롭게 둘러보고 읽는 것은 허용하되, 변경은 사람이 승인할 때만 허용하길 원할 것입니다.

세션이 작동하는 방식

기업이 /.well-known/poppy.json에 에이전트가 자사와 상호작용하는 방법을 적은 파일을 게시합니다. 에이전트는 이 파일을 읽고 세션을 엽니다(로그인한 사람이 없으면 게스트로). 더 많은 권한이 필요해지면 사용자를 OAuth 기반 로그인으로 안내합니다(Sierra). 초안에는 세 가지 로그인 방식이 있습니다. 사용자가 기업의 페이지에서 직접 로그인하는 direct, 다른 기기에서 코드를 입력하는 device, 에이전트가 직접 자격 증명을 제출하는 mediated입니다(명세).

보안 담당자가 알아둘 점이 두 가지 있습니다. 세션 토큰은 수명이 짧고 DPoP로 키에 바인딩되며, 초안은 에이전트가 URL에 토큰을 실어 보내서는 안 되고 기업도 URL로 받아서는 안 된다고 명시합니다. 취약한 부분도 인정합니다. "Personal Agent의 자격 증명을 받는 것은 기업에 더 큰 책임을 지웁니다"(명세).

또 하나 알아둘 아이디어는 토큰 하나로 모든 것을 처리한다는 점입니다. Sierra에 따르면 같은 토큰이 기업의 API, 웹사이트, 기업 에이전트와의 대화에 모두 통합니다(Sierra). 로그인 전에 한 질문과 로그인 후에 바꾼 주문이 하나의 방문으로 취급됩니다(The Next Web).

세 가지 진입 경로, 선택은 기업 몫

전부 구축할 필요는 없습니다. 기업은 에이전트가 접근하는 경로를 고릅니다. 웹사이트, OpenAPI나 MCP 서버로 설명된 API, 또는 대화용 자사 에이전트 중에서 선택합니다. API가 잘 갖춰진 리테일러는 브라우징 경로를 건너뛸 수 있고, 웹사이트뿐인 소규모 상점은 거기서 시작하면 됩니다.

대화 경로에는 고객이 반길 만한 규칙이 하나 있습니다. 모든 메시지에 사람이 썼는지 AI가 썼는지 표시하고, 초안은 사람에게 넘기는 핸드오프도 다룹니다. 이미 고객 지원 보드 등에서 고른 상담 에이전트를 운영 중이라면, 가장 먼저 영향을 받는 경로입니다.

MCP, A2A, ACP, AP2와의 관계

이 중 어느 것도 대체하지 않으며, 경쟁 관계로 읽어서도 안 됩니다. 각자 역할이 다르고, 초안 자체도 MCP를 활용합니다.

위 계층 구조는 공식 도표가 아니라 저희 해석입니다. 간단히 말하면 MCP는 에이전트가 도구를 호출하는 방법, A2A는 에이전트끼리 대화하는 방법, ACP와 AP2는 결제, 그리고 이 초안은 문을 열고 들어가 신원을 인정받는 방법입니다. 결제는 향후 확장으로 분류되어 있으므로, 지금 결제는 ACP나 AP2 같은 것으로 처리해야 합니다. 논쟁이 될 겹침 지점은 MCP입니다. 초안과 일반 MCP 서버 모두 기업의 기능을 노출할 수 있기 때문입니다.

접근 쪽에는 경쟁자도 있습니다. Visa는 올해 초 출시한 Trusted Agent Protocol을 운영하고 있고, The Next Web은 Stripe와 Shopify가 이미 참여했다고 보도했습니다(The Next Web). Visa는 이제 Personal Agent Protocol 설계 파트너 명단에도 올라 있어, 두 노력이 정면충돌하기보다 겹칠 수도 있습니다. 업계가 하나의 표준으로 갈지 둘로 갈지는 열려 있습니다.

참여한 곳과 빠진 곳

발표에서는 Sierra, Meta와 함께 Genesys, Instinct, Rocket, Shopify, Stripe, Walmart가 거론되었습니다(Sierra). 초안 글에는 이 첫 그룹에 NiCE도 들어 있고, Adyen, Bank of America, BBVA, Cloudflare, Mastercard, OpenAI, PayPal, Target, United Airlines, Visa, Wells Fargo를 포함한 35개 설계 파트너가 추가로 나열됩니다. Sierra는 이들이 설계 과정에 참여한다고 밝혔는데, 이는 실제 지원 출시와는 다릅니다(Sierra). 이 때문에 앞선 이야기가 바뀝니다. 발표 당일에는 OpenAI가 빠졌다는 보도가 있었고, Sierra의 공동 창업자 Bret Taylor는 OpenAI 이사회 의장입니다(AI Weekly).

Amazon, Anthropic, Google은 출시 시점의 파트너 명단과 초안 글 어디에도 없습니다. 명단에 없다고 불참이 확정된 것은 아니니, 인용하기 전에 Sierra 페이지를 다시 확인하세요. Claude, ChatGPT, Perplexity는 모두 자연스러운 개인 에이전트가 될 수 있고, 주요 어시스턴트의 지지가 없는 표준은 기업 쪽 체크리스트에 머물게 됩니다. 발표 당일 The Next Web은 유럽 리테일러, 은행, 결제 회사가 한 곳도 거론되지 않았다고 지적했습니다(The Next Web). 지금 늘어난 명단에는 BBVA와 Adyen이 포함되어 있습니다.

개발자와 마케터에게 의미하는 것

개발자 쪽이 더 명확합니다. 제품에 이미 OAuth와 OpenAPI 문서가 있다면 API 경로는 대부분 준비된 셈이고, 초안의 토큰 규칙(짧은 수명, 키 바인딩, URL에 싣지 않기)은 평범한 모범 사례처럼 읽힙니다. 새로 할 일은 디스커버리 파일과 스코프 결정입니다.

마케터에게는 측정 문제가 생깁니다. 지금은 고객 대신 가격 페이지를 조사하는 에이전트가 봇처럼 보이거나 아예 보이지 않습니다. 에이전트와 그 뒤의 고객을 식별하는 세션이 생기면, 그 트래픽을 셀 수 있고 스크레이퍼와 다르게 대할 수 있게 됩니다. 이게 좋은 소식인지는 에이전트가 우리 브랜드에 대해 무슨 말을 하길 원하는가에 달렸고, 이는 기술만큼이나 콘텐츠의 문제입니다.

기업이 지금 할 수 있는 일

이 중 프로토콜이 필요한 일은 없습니다. 초안이 자리 잡든 사라지든 모두 도움이 됩니다.

1. 1로그와 봇 관리 도구를 확인해 이미 어떤 에이전트 트래픽이 들어오는지 파악하세요. Cloudflare를 쓴다면 고객을 대신하는 에이전트에 봇 규칙이 어떻게 작용하는지 확인하세요.
2. 2작업별로 에이전트가 읽을 수 있는 것과 바꿀 수 있는 것을 적어 두세요. 위의 사다리(둘러보기, 계정 보기, 승인 후 실행)를 활용하세요.
3. 3고객이 표준 OAuth 흐름으로 로그인할 수 있는지 확인하세요. 에이전트는 이에 의존하게 됩니다.
4. 4주요 작업(주문 상태, 반품, 예약)을 문서화된 API나 MCP 서버 뒤에 두세요. 잘 작성된 OpenAPI 파일은 어차피 가지고 있을 가치가 있습니다.
5. 5Shopify에서 판매한다면 직접 만들기보다 플랫폼이 내놓는 것을 지켜보세요.
6. 6한 사람이 초안을 추적하는 일을 맡게 하세요. 명세의 Open topics 페이지가 바뀌면 읽어 보세요.

아래 스코어러는 이 목록을 빠른 자가 점검으로 바꾼 것입니다. 프로토콜의 일부가 아니라 저희가 만든 체크리스트입니다.

아직 신경 쓸 필요 없는 경우는 로그인도 API도 상담 에이전트도 없는 비즈니스입니다. 노출할 것이 없기 때문입니다. 고객 서비스 업종이라면 가장 가까운 비교 대상은 이미 운영 중인 AI 에이전트입니다(Sierra AI Agents도 그중 하나이고, AI 지원 챗봇 보드에 다른 제품들이 있습니다). 함께 읽으면 좋은 글로 AI 에이전트 플랫폼 구매 가이드와 인기 AI 에이전트 보드가 있습니다.

남아 있는 질문들

신원. 초안은 기업이 에이전트 등록을 요구하고, 클라이언트 ID별로 허용 목록과 차단 목록을 운영하며, 프로토콜을 악용한 클라이언트 ID를 폐기할 수 있게 합니다(명세). 누가 에이전트를 보증하고 소규모 상점이 이를 어떻게 확인하는지는 각 기업에 맡겨져 있습니다. 발표 당시 보도는 에이전트가 신원을 증명하는 방법에 대한 세부 내용이 없다고 전했습니다(FourWeekMBA). 명세에는 신뢰할 수 있는 에이전트의 공용 레지스트리에 대한 설명도 없습니다.

동의. direct 로그인은 요청된 스코프를 보여주고 사용자가 일부, 전체, 또는 아무것도 승인하지 않을 수 있게 합니다. 좋은 설계입니다. 아직 정해지지 않은 것은 에이전트가 얼마나 자주 묻는지, 그리고 사람들이 그냥 클릭해 넘기지 않을지입니다.

책임. 에이전트가 항공편을 잘못 예약하면 누군가 비용을 떠안아야 하는데, 명세는 그게 누구인지 말하지 않습니다. 책임 문제 자체를 언급하지 않습니다. 나중으로 미뤄둔 결제도 마찬가지입니다.

스팸과 악용. 기업은 클라이언트 ID별로 세션 생성에 속도 제한을 걸 수 있습니다. 신원을 계속 바꾸는 에이전트에게도 통할지는 검증되지 않았습니다.

자주 묻는 질문

Personal Agent Protocol은 이미 사용할 수 있나요?

출시된 표준으로는 아닙니다. Draft 0.1 명세가 공개되어 있고 Sierra가 워크숍과 레퍼런스 구현을 약속했습니다. 확인한 자료에서는 운영 환경에 배포된 사례가 거론되지 않았습니다.

MCP를 대체하나요?

아닙니다. 기업이 자사 기능을 노출하는 방법 중 하나로 MCP를 가리킵니다. MCP는 AI 앱을 도구에 연결하고, 이 초안은 에이전트가 누구이며 특정 기업에서 무엇을 할 수 있는지를 다룹니다.

poppy.json 파일을 지금 게시해야 하나요?

아직은 아닙니다. 초안은 디스커버리를 위해 기업이 게시한다고 하지만, 명세가 안정되고 에이전트가 읽기 시작하기 전까지는 의무가 아닙니다. 그 바탕이 되는 결정들을 미리 준비해 두는 것이 유용합니다.

AI 에이전트를 계속 차단할 수 있나요?

네. 차단은 사다리의 첫 단계입니다. 초안의 취지는 차단과 전체 접근 사이에 선택지를 두자는 것입니다.

결제도 처리하나요?

초안에서는 아닙니다. Sierra는 카드 정보를 공유하지 않는 결제를 향후 확장으로 올려두었습니다. 지금 결제하려면 ACP나 AP2를 살펴보세요.

누가 관리하나요?

초안은 Apache 2.0이며 Sierra가 Meta와 함께 공개했습니다. 공개된 페이지에는 거버넌스 기구가 나와 있지 않아서, 장기적으로 누가 방향을 잡을지는 열려 있는 질문입니다.