Un protocole d'agent est un ensemble de règles qu'un agent personnel suit avant d'agir en votre nom auprès d'une entreprise : il se présente et demande ce qu'il a le droit de faire. L'exemple le plus connu est Poppy, abréviation de Personal Agent Protocol, élaboré sous la conduite de Sierra et de Meta ; la version 1.0 a été publiée le 13 novembre 2026. Le protocole ne décide rien à votre place. Il ne résout qu'un seul problème : quand votre agent arrive chez un commerçant, comment indique-t-il qui il est, ce qu'il peut faire pour vous et ce qu'il ne doit pas toucher ?
Quel problème résout-il au juste ?
L'entreprise publie un fichier Poppy sous son propre domaine, à l'adresse fixe /.well-known/poppy.json, que l'agent lit en premier lors de sa visite. Le fichier précise si l'entreprise accepte les agents personnels, comment l'agent prouve son identité et ce qu'il est autorisé à faire. L'authentification passe par OAuth, et vous pouvez ajuster à tout moment ce que votre agent peut et ne peut pas faire. Techniquement, il réutilise des standards existants comme MCP, OpenAPI et UCP.
Ce n'est pas la même chose que MCP ou A2A
Les trois protocoles se situent à des niveaux différents et se complètent :
| Protocole | Les deux parties reliées | Le problème résolu |
|---|---|---|
| MCP | L'agent avec les outils et les données | Comment un agent appelle des outils et lit des données |
| A2A | Agent à agent | Comment les agents collaborent entre eux |
| Poppy | Agent personnel et entreprise | Comment un agent se connecte à un commerçant en agissant pour vous |
Le partage des rôles avec UCP est tout aussi clair : Poppy s'occupe de ce qui précède la visite, c'est-à-dire prouver son identité et connaître ses autorisations ; UCP s'occupe de l'achat lui-même, c'est-à-dire trouver des produits, remplir le panier et payer.
Ce qu'il peut faire aujourd'hui, et ce qu'il ne faut pas en attendre
Le déploiement le plus rapide est celui de Shopify : la plateforme publie automatiquement un fichier Poppy pour tous ses commerçants, couvrant des commerçants dans plus de 175 pays, sans aucune action supplémentaire de leur part. L'agent Muse de Meta est disponible pour tous les utilisateurs et recherche Poppy en priorité à chaque visite d'un site web. Parmi les exemples déjà en service, on trouve Mercury : un agent peut consulter le solde, examiner les transactions récentes et classer les dépenses, tandis que le lancement d'un paiement ou d'un virement doit d'abord passer par une procédure d'approbation du compte ; Turkish Airlines permet à l'agent de consulter les tarifs et le statut des vols et de retrouver une réservation à partir de son numéro, les surclassements et les paiements exigeant votre approbation.
Mais il y a trois choses à ne pas en attendre : si un commerçant n'a pas publié de fichier Poppy, l'agent n'a rien à quoi se connecter, donc la couverture dépend de l'adoption par les commerçants ; la version 1.0 ne signifie pas que toutes les fonctionnalités sont déjà là, jugez donc uniquement sur ce que la version publiée dit réellement ; et ce n'est pas un passe-partout : les opérations sensibles exigent toujours votre accord, et vous pouvez retirer une autorisation à tout moment. Il convient aux tâches comme vérifier une facture, vérifier une commande ou comparer des voyages — des situations du type « d'abord demander, puis agir » ; tout ce qui exige d'approuver un paiement sur place ou de régler un litige compliqué vous demandera toujours en personne.
