一个值得记录的瞬间。

Personal Agent Protocol 放出 0.1 草案：OpenAI、Visa、Mastercard 等 35 家加入设计

Sierra 联合创始人 Bret Taylor 和 Clay Bavor 10-09 在官博公布 Personal Agent Protocol（简称 Poppy）0.1 草案，同时宣布新增 35 家设计伙伴，包括 OpenAI、Visa、Mastercard、PayPal、Adyen、Plaid、Bank of America、Wells Fargo、Target、United Airlines、Cloudflare、Okta、1Password、Zapier 和 Notion。10-06 首批宣布时是 Meta 与 Genesys、Instinct、NiCE、Rocket、Shopify、Stripe、Walmart，当时 OpenAI 没在名单里。

按规范站的草案文本，企业用一份 poppy.json 声明说明自己提供 Agent、API 还是网页入口，个人 Agent 据此替单个用户开会话；登录基于 OAuth 和 JWT，企业按 MCP 暴露的服务器要接受会话令牌、按 scope 执行，并且只认发给自己 url 的令牌。会话默认从未登录开始，企业决定提供哪些登录方式、每种方式能授予哪些 scope，也可以按 Agent 设允许或阻止名单；用户在授权页决定批准只读还是可写。草案写明 0.1 的任何部分都可能在稳定版前做不兼容修改，支付、推送通知列为尚未覆盖的开放议题。Sierra 称接下来一个月办设计研讨会并发布参考实现。

草案写明，除代填凭据登录外都是标准 OAuth 2.0，会话令牌就是 OAuth access token，企业可以沿用现有授权服务器。按 scope 校验、只认发给自己的令牌，这正是 Spring Security 的 Resource Server 已经实现的资源服务器做法。

主源：https://sierra.ai/blog/poppy
规范：https://personalagentprotocol.org/docs/spec