Meta、Sierra推出PAP协议草案：AI替你购物，谁来授权？

游仕｜AI · 2026年10月12日

你可以让 AI 帮你挑选一台电脑，也可以让它比较不同商家的价格。

但如果你进一步说：“选好以后，直接替我下单。”

问题就复杂了。

商家怎么知道这个 AI 确实代表你？它能查看你的历史订单吗？能修改你的配送地址吗？如果要付款，权限又该由谁来控制？出现错单、欺诈或退款争议，责任又在谁？

2026 年 10 月 6 日，Meta 与企业级 AI 公司 Sierra 在旧金山举办的 Sierra 峰会上联合宣布，正在共同开发 Personal Agent Protocol（个人代理协议，简称 PAP），试图为个人 AI 代理与商业机构之间的交互建立开放、统一的标准规范。

仅仅三天后的 10 月 9 日，Sierra 进一步向公众发布了代号为 Poppy 的首版协议规范草案（v0.1），并宣布新增 35 家设计合作伙伴——其中包括 OpenAI，以及 Visa、万事达卡（Mastercard）、PayPal、富国银行（Wells Fargo）、美国银行（Bank of America）和零售巨头塔吉特（Target）等全球金融与零售机构。在此之前，沃尔玛（Walmart）、Shopify、Stripe、Genesys、Instinct 和 Rocket 已作为首批初始支持机构参与其中。

需要明确的是，PAP 的核心不是让 AI 立刻替你刷信用卡，也不是市面误传的“自动扣款机器人”。在首个草案版本中，支付功能被明确排除在规范之外，其重心完全聚焦于：当一个 AI 代理来到商业网站时，如何合法验证身份、如何界定权限范围，以及商家如何决定如何接待它。

告别“模拟人类点击”的网页混战

在理解 PAP 为什么引发行业震动之前，必须先看清当前“AI 代购”的技术困境。

过去一年中，多款主打“帮用户订票、订餐、购物”的 AI 智能体产品相继亮相。然而，它们绝大多数依赖 GUI 自动化（图形界面自动化） 方案：让模型通过截屏或分析网页 DOM 代码，假扮成一个视力很好、打字极快的“虚拟人类”，像黑客一样在页面上寻找输入框、模拟鼠标点击和填表。

这种做法在真实的商业环境中撞上了无法逾越的屏障：

• 界面脆弱性：商业网页的前端排版与交互逻辑频繁变更。按钮颜色的一次改版、表单字段的一个微小重命名，都可能让 AI 产生定位幻觉或执行中断；
• 安全风控冲突：面对身份不明的自动化访问，商家的防爬虫与风控系统（如 Cloudflare、验证码、行为检测）会直接将其识别为恶意脚本并予以拦截。AI 开发者不断尝试绕过人机验证，商家则不断升级反制，陷入无意义的对抗内耗；
• 法律与授权黑洞：最根本的问题在于缺乏法律上可追溯的授权凭证。如果用户将主银行卡号、CVV 密码或明文账号直接交付给第三方模型去代填网页表单，一旦发生越权扣款、钓鱼欺诈或数据泄露，银行不认、商家不认、模型公司也不会承担兜底责任。

PAP 的出发点，正是试图终结这种“让机器伪装成人类悄悄填表”的脆弱机制，为个人 AI 代理提供一个公开、受信任的“商业出入口”。

Poppy 草案的核心机制：身份、发现与接口协商

根据 Sierra 与 Meta 联合发布的 Poppy 规范草案（v0.1），该协议建立在成熟的工业标准之上，主要由以下三个层次构成：

1. 基于 OAuth 的会话建立与访问控制

PAP 并未凭空发明新的加密体系，而是依托广泛应用的 OAuth 等现有工业标准。

Poppy 草案规定了个人代理如何向商户发起会话、用户如何在受信任的端点进行登录，以及企业如何根据已授予的权限范围（Scope）对代理的访问进行受控管理。需要指出的是，具体的身份核验方式取决于企业自身采用的认证流程与安全策略；同时草案亦支持访客会话（Guest Sessions），在纯粹的信息检索等场景下，并不强制要求绑定用户的真实自然人身份。

2. 标准化发现机制（`/.well-known/poppy.json`）

类似于网站用来规范搜索引擎爬虫的 robots.txt，Poppy 草案规定商户可以在其域名根目录下部署标准的元数据文件：/.well-known/poppy.json。

通过该配置文件，商户可以向所有来访的个人代理清晰宣告：本站是否支持 PAP 协议、支持哪些交互模式与端点，以及哪些功能需要登录授权。

3. 三种企业交互接入通道

面对来访的个人代理，企业不再只有“机械封锁”或“被动防爬”两种极端选择。Poppy 规范明确界定了企业可以自主选择的三种接入方式：

• 企业网站（Websites）：个人代理可以通过常规 Web 网页进行交互与浏览。当某些特定业务场景（如高敏感操作或复杂选择）需要用户本人介入时，亦可作为人工直接确认的载体；
• 企业 API（APIs）：企业直接暴露结构化的数字端点（包括 REST/OpenAPI，或采用下文详述的 MCP 协议），供个人代理以确定性的机器语言高效调用；
• 企业自身智能体（Enterprise-hosted Agents）：企业可以部署对端的专业服务智能体（如 Sierra 为品牌打造的企业级 Agent），让个人代理与企业代理在后台直接完成跨系统的结构化协商与服务对接。

为什么 Poppy v0.1 暂未纳入“自动支付”？

在 PAP 宣布后，部分市场舆论将其解读为“AI 开始替你刷信用卡”、“自动扣款全面落地”。这种认知与技术草案的客观成熟度存在明显偏差。

官方事实：支付未列入 v0.1 规范。

在 Sierra 发布的 Poppy v0.1 原始技术文档中，支付与结账功能被明确放置在尚未覆盖的开放议题清单（Open Topics）中。值得注意的是，草案中虽然提供了一个可选的 operations 扩展——用于支持具体业务操作的执行确认与幂等防重（防重复执行），但这仅仅是通用业务动作层面的协议交互，绝不等于已经实现了金融级的支付清算与资金结算。

商业与技术分析：为什么支付无法在首版一蹴而就？

从商业现实来看，让 AI 真正代行支付，远比交换几条 JSON 数据复杂得多：

1. 资金限额与动态风控标准的缺失：如何跨发卡行、支付网关为 AI 建立通用的单笔上限、商户白名单与动态失效机制，目前尚无全行业统一规则；
2. 高敏感环节的二次确认与中断设计：如何在保护用户体验的同时，合法满足金融监管要求的强化身份认证（Step-up Authentication / 3D Secure）；
3. 欺诈与民商事责任归属：若代理发生语义幻觉误购、或遭遇针对 AI 的供应链投毒，损失由持卡人、收单平台、发卡银行还是模型提供方兜底？

尽管 Visa、万事达卡、Stripe 和 PayPal 等支付与金融巨头已作为设计伙伴加入，但官方的审慎节奏表明：支付是协议演进的远期目标，必须在身份核验与权限责任边界经受充分检验后，才可能分步试水。

概念澄清：PAP 与 MCP 的分工与协作

随着 Anthropic 主导的 MCP（Model Context Protocol，模型上下文协议） 和 Sierra/Meta 主导的 PAP 先后问世，行业内出现了一些关于两者是否互相替代的疑问。

实际上，两者的定位处于不同抽象层级，非但不是非此即彼的竞争关系，甚至在协议草案中已展现出直接的互补协同：

• MCP 规范的是“AI 应用与工具、数据源之间的连接方式”：它既可以连接本地文件、数据库与开发环境，同样能够连接远程云端服务与企业数据管道，充当通用的协议中介；
• Poppy/PAP 规范的是“个人代理与外部企业之间的身份、授权、会话及跨通道交互关系”：它界定的是代理走出用户设备后，企业如何识别其合法性、如何建立安全会话。

事实上，在 Poppy v0.1 的原始技术规范中，MCP 已被明确列为企业 API 通道的一种可选承载方式。这意味着，未来的个人代理完全可以通过 PAP 完成与商户的身份协商与会话建立，随后直接调用商户所暴露的 MCP 远程端点执行查询——两者形成了清晰的上下层互锁。

商业影响：从 SEO 到 AEO 的理性展望

PAP 的提出，为未来“代理驱动型商业”（Agent-Driven Commerce）描绘了雏形，但其对商业生态的影响同样需要客观分析，不能简单宣称“传统电商与营销已经消亡”。

• AEO（智能体引擎优化）成为新兴探讨方向：企业不仅需要考虑在搜索引擎上的排名，还需要考虑是否部署了诸如 /.well-known/poppy.json 等结构化接口，以便被 AI 代理高效读取；
• 双轨制将长期共存：人类消费者具有审美、情感与非理性的冲动消费属性，直面人类消费者的精美网页、社交媒体营销与品牌叙事，绝不会因为 AI 代理的出现而在一夜之间失效。未来的零售基础设施，更可能长期处于“面向人类的富媒体页面”与“面向代理的结构化接口”并存的双轨状态；
• 标准碎片化与平台博弈风险：尽管 Meta 与 Sierra 聚拢了豪华的联盟阵容，但微软、苹果、谷歌等掌握底层操作系统与浏览器入口的科技巨头，是否会无条件接纳这套协议，抑或推出自己的专属代理接入标准，仍是未来最大的变数。