Personal Agent Protocol — это черновик стандарта, который описывает, как персональный ИИ-ассистент человека попадает на сайт компании, в её API и к её агенту поддержки, и что компания разрешает ему делать внутри. Sierra и Meta анонсировали его вместе с партнёрами, среди которых Stripe, Shopify и Walmart (анонс Sierra), а спустя несколько дней опубликовали первый черновик с неофициальным названием Poppy (Sierra о черновике). Это не продукт, который можно включить сегодня.
Если вы управляете бизнесом, вывод простой: ничего не ломается и ничего не требуется. Но ИИ-ассистенты уже заходят на сайты от имени клиентов, а этот черновик — первая серьёзная попытка дать вам право голоса в том, как это происходит. Разобраться в общей картине сейчас — это час времени. Проигнорировать — значит рискнуть несколькими неделями хаоса из самодельных правил для ботов... точнее, несколькими годами.
В статье разберём, что определяет черновик, чем он отличается от MCP, A2A и протоколов для коммерции, кто присоединился, а кто нет, и что стоит сделать уже сейчас.
Что опубликовано, а что нет
Опубликовано три вещи. Анонс Sierra, где названы партнёры и цели дизайна. Черновик спецификации версии Draft 0.1 под лицензией Apache 2.0 (спецификация). И обещание провести дизайн-воркшопы и выпустить референсную реализацию — ни того, ни другого в проверенных для этой статьи источниках пока нет (Sierra).
Чего пока нет: ни одной названной компании, где протокол работает в продакшене, ни руководящего органа, ни окончательного ответа по платежам. Когда появились первые новости, в одном материале отмечали, что ни руководящий орган, ни лицензия не определены (FourWeekMBA). Вопрос с лицензией с тех пор закрыл сам черновик. Вопрос с управлением в проверенных страницах остаётся открытым.
Так что относитесь к нему как к предложению с серьёзной поддержкой. Meta описала амбицию через сравнение с электронной почтой: «Почта взлетела, потому что все договорились об адресации, передаче и доставке сообщений. Ей никто не владеет, и на её основе может строить любой» (VKTR). Но у почты это заняло годы, и всё это время множество компаний держали у себя странные собственные почтовые правила. Здесь будет похожая лоскутная картина: первые внедренцы зададут конвенции, которые остальные скопируют.
Проблема: блокировать всё или отдать пароль
Сайт проекта прямо описывает нынешний выбор. Компании либо полностью блокируют агентов, либо агент входит с полными учётными данными пользователя и может делать всё, что может сам пользователь (personalagentprotocol.org). Оба варианта плохи. Блокировка раздражает клиента, приславшего агента. Полный доступ — это будущая проверка безопасности, которая только и ждёт своего часа.
Блокировка — не выдумка. В одном обзоре анонса среди сайтов, блокирующих агентов, названы Amazon, Delta, United, Zillow и eBay, а также упомянута антибот-политика Cloudflare, которая случайно задела часть легитимных агентов (AI Weekly). Кевин Миллер из Stripe точно описал позицию клиента: люди, отправляющие агента, «ожидают того же сервиса, какой получили бы сами» (Unite.AI).
Ответ черновика — лестница доступа. На сайте проекта она показана на примере отеля: заблокировать агента; позволить любому агенту искать номера; разрешить смотреть бронирования после входа; разрешить бронировать номер только с одобрения человека каждый раз; дать полный доступ. Ступень вы выбираете отдельно для каждого действия.
Главное — средние ступени. Большинству компаний захочется, чтобы агенты свободно просматривали и читали информацию, а менять что-либо могли только с согласия человека.
Как работает сессия
Компания публикует файл /.well-known/poppy.json, где описано, как с ней могут взаимодействовать агенты. Агент читает его, открывает сессию (гостевую, если никто не вошёл) и, когда нужно больше прав, направляет человека на вход через OAuth (Sierra). В черновике три типа входа: прямой, когда человек входит на странице самой компании; через устройство, когда он вводит код на другом устройстве; и опосредованный, когда агент сам передаёт учётные данные (спецификация).
Для специалистов по безопасности важны две детали. Токены сессии короткоживущие и привязаны к ключу через DPoP; в черновике сказано, что агенты не должны передавать токены в URL, а компании не должны принимать их оттуда. Там же признаётся слабое место: «Приём учётных данных от Personal Agent возлагает на компанию больше ответственности» (спецификация).
Ещё одна идея, о которой стоит знать: один токен покрывает всё. По словам Sierra, один и тот же токен работает и для API компании, и для её сайта, и для разговоров с её агентом (Sierra). Вопрос до входа и изменение заказа после него считаются одним визитом (The Next Web).
Три пути входа, и выбор за вами
Строить всё сразу не обязательно. Компания сама выбирает, как к ней приходят агенты: через сайт, через API, описанные в OpenAPI, или через MCP-сервер, либо через собственного агента для диалогов. Ритейлеру с хорошим API можно пропустить путь через браузинг. Небольшой магазин с одним сайтом может начать с него.
У маршрута через диалог есть правило, которое понравится клиентам: в каждом сообщении указано, кто его написал — человек или ИИ, а черновик описывает и передачу диалога человеку. Если у вас уже работает агент поддержки, например из рейтинга агентов поддержки, этот маршрут затронет вас в первую очередь.
Как это сочетается с MCP, A2A, ACP и AP2
Он не заменяет ни один из них, и его не стоит воспринимать как конкурента. У протоколов разные задачи, а сам черновик опирается на MCP.
| Протокол | Кто создал | Задача |
|---|---|---|
| MCP | Открытый стандарт | Соединяет ИИ-приложения с инструментами и данными (документация MCP) |
| A2A | Google, теперь Linux Foundation | Позволяет агентам разных вендоров общаться друг с другом (A2A) |
| ACP | Stripe и OpenAI | Оформление заказа агентом и передача платёжных данных (ACP) |
| AP2 | Подписанные мандаты, подтверждающие, что пользователь разрешил покупку (AP2) | |
| Personal Agent Protocol | Sierra и Meta (черновик) | Обнаружение, сессии, вход и права доступа между персональным агентом и бизнесом |
Стек выше — наша трактовка, а не официальная схема. Проще всего сказать так: MCP — это то, как агент вызывает инструмент, A2A — как агенты общаются между собой, ACP и AP2 отвечают за оплату, а этот черновик — за то, чтобы войти в дверь и быть узнанным. Платежи указаны как будущее расширение, так что оформлять покупку сегодня придётся через что-то вроде ACP или AP2. Спорить будут о пересечении с MCP: действия компании могут открывать и черновик, и обычный MCP-сервер.
Есть конкурент и на стороне доступа. У Visa есть Trusted Agent Protocol, запущенный в начале этого года, и The Next Web писал, что Stripe и Shopify уже присоединились к нему (The Next Web). Теперь Visa есть и в списке дизайн-партнёров Personal Agent Protocol, так что две инициативы могут пересекаться, а не сталкиваться лоб в лоб. Придёт ли индустрия к одному стандарту или к двум — пока неясно.
Кто участвует, а кого нет
В анонсе вместе с Sierra и Meta названы Genesys, Instinct, Rocket, Shopify, Stripe и Walmart (Sierra). В посте о черновике в эту первую группу добавлена NiCE и ещё 35 дизайн-партнёров, среди которых Adyen, Bank of America, BBVA, Cloudflare, Mastercard, OpenAI, PayPal, Target, United Airlines, Visa и Wells Fargo. Sierra говорит, что они примут участие в процессе проектирования, а это не то же самое, что поддержка в продукте (Sierra). Это меняет прежнюю картину: в день анонса СМИ отмечали отсутствие OpenAI, а Брет Тейлор, сооснователь Sierra, возглавляет совет директоров OpenAI (AI Weekly).
Amazon, Anthropic и Google не значатся среди партнёров ни на старте, ни в посте о черновике. Отсутствие в списке — не доказательство, что они не участвуют, так что перед цитированием проверьте страницы Sierra ещё раз. Claude, ChatGPT и Perplexity — естественные кандидаты в персональные агенты, а стандарт без крупного ассистента за спиной остаётся лишь чек-листом для компаний. В день анонса The Next Web отметил, что не назван ни один европейский ритейлер, банк или платёжная компания (The Next Web). В расширенном списке теперь есть BBVA и Adyen.
Что это значит для разработчиков и маркетологов
У разработчиков ситуация яснее. Если в вашем продукте уже есть OAuth и описание OpenAPI, до маршрута через API вам осталось немного, а правила черновика для токенов (короткоживущие, привязанные к ключу, никогда в URL) читаются как обычная хорошая практика. Новая работа — файл обнаружения и определение scope.
У маркетологов возникает вопрос измерения. Сегодня агент, который изучает вашу страницу с ценами для клиента, выглядит как бот или вообще не виден. Сессия, где определён и агент, и клиент за ним, превращает этот трафик в то, что можно считать и обрабатывать иначе, чем скрейперы. Хорошая ли это новость, зависит от того, что вы хотите, чтобы агенты о вас говорили, а это вопрос контента не меньше, чем техники.
Что бизнес может сделать сейчас
Ничего из этого не требует протокола. Всё пригодится независимо от того, победит черновик или сойдёт на нет.
- Посмотрите логи и инструменты защиты от ботов и выясните, какой агентский трафик к вам уже приходит. Если вы используете Cloudflare, проверьте, что его правила для ботов делают с агентами, действующими от имени клиента.
- Запишите по каждому действию, что агент может читать, а что менять. Используйте лестницу выше: просмотр, доступ к аккаунту, действие с одобрением.
- Убедитесь, что клиенты могут входить через стандартный поток OAuth. Агенты будут на него опираться.
- Вынесите главные действия (статус заказа, возвраты, бронирования) за документированный API или MCP-сервер. Хорошо описанный файл OpenAPI пригодится в любом случае.
- Если вы продаёте на Shopify, следите за тем, что выпустит платформа, а не строите это сами.
- Поручите кому-то одному следить за черновиком. Перечитывайте страницу Open topics в спецификации, когда она меняется.
Калькулятор ниже превращает этот список в быструю самопроверку. Это наш собственный чек-лист, а не часть протокола.
Кому пока не стоит заморачиваться: бизнесу без логинов, API и агента поддержки. Вам нечего открывать. Если вы занимаетесь клиентским сервисом, ближайшее сравнение — ИИ-агент, который у вас уже работает (Sierra AI Agents — один из них; другие есть в рейтинге ИИ-чатботов поддержки). Что ещё почитать: наш гид по выбору платформы ИИ-агентов и рейтинг лучших ИИ-агентов.
Открытые вопросы
Идентификация. Черновик позволяет компаниям требовать регистрацию агентов, вести списки разрешённых и заблокированных по client ID и отзывать client ID, если он злоупотребляет протоколом (спецификация). Кто поручается за агента и как небольшой магазин его проверяет — решает каждая компания. На момент анонса сообщали, что нет подробностей о том, как агенты подтверждают личность (FourWeekMBA). Общего реестра доверенных агентов спецификация не описывает.
Согласие. При прямом входе показываются запрашиваемые scope, и человек может одобрить часть, всё или ничего. Это хорошо. Не решено другое: как часто агенты будут спрашивать и не начнут ли люди просто кликать «да» не читая.
Ответственность. Если агент забронирует не тот рейс, кто-то оплатит убытки, а спецификация не говорит, кто. Об ответственности там нет ни слова. Как и о платежах, которые отложены на потом.
Спам и злоупотребления. Компании могут ограничивать частоту создания сессий по client ID. Устоит ли это против агентов, меняющих идентичность, пока не проверено.
Часто задаваемые вопросы
Работает ли Personal Agent Protocol уже сейчас?
Не как готовый стандарт. Спецификация Draft 0.1 опубликована, а Sierra пообещала воркшопы и референсную реализацию. Ни одного продакшен-внедрения в проверенных источниках не названо.
Заменяет ли он MCP?
Нет. Он указывает на MCP как на один из способов, которыми компания может открыть свои действия. MCP соединяет ИИ-приложение с инструментом. Черновик же определяет, кто такой агент и что ему разрешено в конкретной компании.
Нужно ли публиковать файл poppy.json?
Пока нет. Черновик предполагает, что компании публикуют его для обнаружения, но никто не обязан этого делать, пока спецификация не стабилизируется и агенты не начнут его читать. Полезнее всего подготовить решения, на которых он основан.
Могу ли я по-прежнему блокировать ИИ-агентов?
Да. Блокировка — первая ступень лестницы. Смысл черновика в том, что между блокировкой и полным доступом у вас появляются варианты.
Решает ли он вопрос платежей?
В черновике нет. Sierra называет платежи без передачи данных карты будущим расширением. Для оформления покупки сегодня смотрите на ACP или AP2.
Кто им управляет?
Черновик выпущен под Apache 2.0 и опубликован Sierra вместе с Meta. В опубликованных страницах руководящего органа нет, так что вопрос о том, кто будет направлять протокол в долгосрочной перспективе, остаётся открытым.