委托协议新物种：从 Poppy 看企业的新交易对手
过去一年，行业里关于“智能体治理”的讨论，默认视角几乎都是朝内的：企业怎么管好自己家里跑的那些智能体——最小权限、审计日志、防止内部 agent 越权调用敏感接口。说白了，这是一套熟悉的 RBAC 思路，换了个载体而已，工程师闭着眼都能画出架构图。
但 2026 年 10 月，Sierra 和 Meta 联合发布的 Personal Agent Protocol（代号 Poppy），把这个视角翻了过来。它讨论的不是“怎么管好自家的智能体”，而是：别人家的智能体代表我的客户，来到我的网站和 API 办事，我该怎么办？
你无法审计它的训练过程，不知道它的安全机制有多可靠，甚至不知道它是否已经被提示注入攻破。它完全不受你控制，却是一个必须认真对待的交易对手。
这比管理内部权限难得多。内部系统出了问题，你至少知道日志在哪、模型由谁训练、系统能否回滚。现在，对面可能是 Meta 运行的个人智能体 Muse，正代表一名真实用户申请房贷预批。你能确认的，只是“它声称自己获得了授权”。这项声明是否可信，取决于一套你没有参与设计的协议。
本文的核心判断是：Poppy 真正争夺的不是智能体之间如何通信，而是谁来定义个人与企业之间委托关系的默认规则。 谁先把身份、授权和可见性写进标准，谁就更接近未来人机交易的入口。银行、支付和身份厂商争相加入，并不只是因为认同这套治理理念，更因为没人愿意缺席下一代交易规则的制定。
Poppy 到底卡在协议栈的哪一层
要理解 Poppy 为什么重要，先要把它与 MCP、A2A 放在一起看。否则，它很容易被当成又一个智能体互通协议。
MCP（Model Context Protocol，由 Anthropic 提出）解决的是智能体如何调用外部工具和数据源，本质上是“智能体如何使用自己的工具箱”，通常不处理跨组织信任。A2A（Agent2Agent，由 Google 提出）解决的是多个智能体如何发现彼此、协作和分派任务，常见于企业及其合作方之间。
Poppy 面对的则是一条跨组织、跨信任域的三层委托链：自然人 → 个人智能体 → 企业。MCP 和 A2A 主要关心“事情怎么做”，Poppy 更关心“谁有权代表谁、授权边界在哪里、出了问题由谁负责”。它试图标准化的是代理关系，技术接口只是载体。
| 维度 | MCP | A2A | Poppy |
|---|---|---|---|
| 信任域 | 单智能体与自己的工具 | 多为企业内部/合作方 | 跨组织、消费者平台 vs 企业 |
| 核心对象 | 工具调用、上下文获取 | 任务分派、能力发现 | 委托关系的确认与限权 |
| 授权模型 | 通常无跨组织授权问题 | 多为静态注册的服务账号 | OAuth 扩展，需承载“协商”语义 |
| 责任归属 | 不涉及 | 不在协议核心范围 | 开放问题，尚无答案 |
| 驱动方 | 模型厂商（面向开发者） | 云厂商（面向企业客户） | 消费者触点平台+企业智能体厂商 |
因此，Poppy 不是 MCP 或 A2A 的直接竞品，而是在通信与协作之上增加了一层信任机制：前两者解决“怎么把事做成”，Poppy 试图解决“这件事有没有资格开始”。
用 Rocket 的演示拆一遍机制
Sierra Summit 上的演示，呈现了这套协议最关键、也最薄弱的环节。
Rocket 的产品副总裁让 Meta 的个人智能体 Muse 申请房贷预批。Muse 先访问 Rocket 网站，通过 Poppy 发现 Rocket 的企业智能体；连接前，Muse 向用户请求许可。用户随后亲自登录，明确同意分享房贷所需的信用和收入数据。敏感数据的授权没有一次性交给 Muse，而是在关键节点回到本人手中确认。
获得授权后，两个智能体围绕购房价、首付和利率展开协商，并在短时间内生成预批函。传统流程是“人填写表单，企业后台计算结果”；现在则变成“两个自动化主体基于结构化数据协商”。这个变化远比表面看起来激进。
协商意味着让步和承诺，而承诺不是数据访问权限，它超出了 OAuth 的原生语义。OAuth 最初解决的是“应用代表用户访问资源”的问题，授权对象是数据的读写，不是“代表我作出有约束力的决定”。
到了 Poppy 的场景，问题已经从访问控制延伸到法律代理：智能体能否替本人拍板？协议正在用一套原本不为此设计的语法，表达本质上的法律关系。这是当前草案最明显的结构性张力。
官方称用户“始终掌控每一步”。但从演示来看，用户的掌控主要集中在登录与授权；协商中的报价和反报价，并不需要用户逐项确认。模型行为漂移、信息不对称和自动压价等风险，都藏在这段没有展开的过程里。
为什么偏偏是现在，为什么这些厂商抢着上车
一项协议能否落地，不只取决于技术成熟度，还取决于市场条件是否同时具备。Poppy 出现在此时，背后有三个原因。
第一，能力已经接近可用。智能体开始能够完成填表、比价、协商等多步骤任务，而不只是回答问题。
第二，分发入口已经形成。Meta 掌握 WhatsApp、Instagram 和 Messenger 等大规模用户触点。一旦个人智能体成为默认入口，企业很难简单选择“不接待”，只能封锁智能体流量，或者主动接入相关标准。
第三，交易基础设施已经提前入场。支付、身份和合规厂商正在为“机器发起交易”做准备。它们必须在技术完全成熟之前参与标准制定，才能继续搭建风控、代币化和责任分摊等产品。
首批合作方与新增的 35 家设计伙伴，几乎覆盖了整条交易链路：Okta、1Password 和 Plaid 涉及身份与凭证；Visa、Mastercard、PayPal、Adyen 和 Stripe 处理支付结算；多家银行面对 KYC、反洗钱等监管要求；Target、Walmart、Shopify 和 Rocket 提供实际业务场景；Zapier、Zendesk、Cloudflare、Notion 和 OpenAI 则靠近实现与分发环节。
Cloudflare 的加入尤其值得关注。它意味着识别、限流和反爬等边缘防护能力，未来可能需要区分“恶意机器人”与“获得用户授权的个人智能体”，而不能继续沿用面向人类流量的简单规则。
这些厂商聚到一起，背后的商业逻辑很直接：谁定义智能体之间的握手方式，谁就更接近交易链路的入口。 企业加入，既是为了避免被排除在下一代流量入口之外，也是为了把自身需要的可见性和控制权写入标准。
没解决的问题，才是真正的硬骨头
Poppy 目前仍是早期草案，设计工作坊和参考实现尚未完成。官方描述的许多“标准做法”，现阶段更准确地说只是提议。真正困难的问题仍然悬而未决。
责任归属。 如果个人智能体传递了错误数据，导致企业智能体给出错误的预批结果，损失该由用户、平台方还是企业承担？协议尚未回答，但这很可能是最先进入法庭的问题。
提示注入后的归责。 如果个人智能体被恶意网页或第三方指令劫持，进而作出不利于用户的决定，企业是否要为“向被攻破的智能体提供服务”承担责任？同样没有答案。
多平台互认。 如果 Apple、Google、Amazon 分别推出自己的个人智能体平台，Poppy 能否成为通用标准，还是会分裂成几套互不兼容的委托协议？多套单点登录与联邦身份标准长期并存的历史，说明统一并非必然。
监管与身份核验。 银行和支付厂商迅速加入，说明问题已经摆上桌面。但如何核验一个非人类代理人，现有监管框架并没有现成答案。
中小企业的接入门槛。 部署企业智能体需要额外投入。如果个人智能体只能稳定识别已完成接入的大企业，中小企业可能被新流量入口边缘化，或者被迫采用平台提供的模板化方案，再次让渡控制权。
目前公开的实证，只有 Sierra Summit 上的一次舞台演示。它证明了端到端流程能在受控环境中跑通，却没有展示协商失败、用户中途撤销、数据冲突或对抗攻击。它是一项可行性证明，不是协议已经成熟的证据。
对企业来说，这意味着客服、风控、定价都要重新想一遍
如果个人智能体成为新的交易发起方，企业面对的对象就会从“人”扩展到“代理人”。这不是增加一个入口，而是对客服、风控、营销和定价的结构性冲击。
在客服和营销环节，为人设计的页面体验与转化话术可能失效。智能体不会被红色的“限时优惠”打动，它更关心机器可读的条款、完整的价格和可验证的承诺。
在风控环节，企业不仅要确认“这个人是不是本人”，还要确认“这个代理人是否真的获得授权、授权范围有多大”。验证链条因此变得更长，也更容易被凭证重放和身份冒充攻击。
定价受到的影响可能更深。当协商发生在两个自动化主体之间，品牌忠诚度可能逐渐转移：用户更信任自己的个人智能体，让它持续比价和议价。个人智能体由此成为新的流量入口，企业依赖信息差和品牌溢价获得的部分利润，也可能被压缩。
企业现在可以先做四件事：
- 盘点最可能被个人智能体访问的流程，例如贷款预批、保单报价和航班改签；
- 把产品信息与条款转换为机器可读、可验证的格式；
- 将代理人身份、授权范围和撤销机制纳入风控；
- 分开统计人类访客与代理人访客的转化率、异常率和服务成本。
回到那句判断
银行、支付和身份厂商争相加入，不只是因为智能体治理重要。更直接的原因是：谁先把身份、授权和可见性的规则写进标准，谁就更接近未来人企交易的入口。这是一场关于“默认规则由谁定义”的卡位战，而不只是一次技术选型。
Poppy 仍有很长的路要走：OAuth 正在承载超出原始设计的协商语义，责任归属、提示注入和多平台互认也没有解决。但方向已经清楚：企业今后面对的不只是人，还有代表人行事、却无法被企业审计的代理人。
当你的下一个客户是一个智能体，你准备好用什么说服它？
本文部分内容由 AI 辅助生成，经人工审校和补充后发布。