Poppy خدام

Poppy (Personal Agent Protocol) هو مسودة بروتوكول مفتوح طوّراتها Sierra وMeta مع شركات أخرى، وكيحل مشكل الهوية والتفويض ديال الولوج ديال AI Agent الشخصي لخدمات الشركات. البروتوكول كيخلّي الشركات تعلن على طريقة ربط الـAgent عبر /.well-known/poppy.json، والـAgent يقدر يعرّف بهويتو ويمثّل المستخدم لتنفيذ المهام بتفويض OAuth. الصلاحيات مقسّمة لخمسة مستويات قابلة للتعديل، وتسجيل دخول واحد كيخلّي الجلسة تعاود تستعمل بين المواقع، وواجهات API، والـAgent ديال الشركة. دابا كاينين أكثر من 35 شركة مشاركة، بحال Stripe وShopify وWalmart وVisa وOpenAI.

التعرّف على الهوية: الشركة تقدر تحدد بوضوح باللي اللي كيدخل هو ”AI Agent ديال شي مستخدم”.
آلية اكتشاف معيارية: الشركة كتنشر ملف /.well-known/poppy.json فالموقع ديالها، وكتعلن فيه على طريقة ربط الـAgent، ومدخل تسجيل الدخول، والقدرات المتاحة.
تفويض متدرّج: الصلاحيات كتتراوح من المنع الكامل حتى للتحكم الكامل، فخمسة مستويات؛ الشركة كتقرر شنو تفتح، والمستخدم كيقرر شنو يفوّض.
تسجيل دخول آمن بـOAuth: المستخدم كيسجّل الدخول بنفسو فصفحة الشركة، والوكيل كياخذ غير رمز الجلسة اللي وافق عليه المستخدم وبأقل صلاحيات ممكنة.
جلسة وحدة بين القنوات: نفس الرمز يقدر يتستعمل فموقع الشركة، والـAPI، والـAgent اللي بناتو الشركة، والتفاعل كيبقى متواصل بلا انقطاع.
تنفيذ عبر قنوات متعددة: الـAgent يقدر يتعامل مباشرة مع صفحات الويب، أو يستعمل واجهات OpenAPI/MCP، أو يتعاون مع AI Agent بناتو الشركة باش يكمل المهمة.
قابلية التدقيق والإلغاء فكل المراحل: الشركة تقدر تشوف المسار الكامل ديال عمليات الـAgent، والمستخدم يقدر يسحب التفويض فأي وقت.
مبني على معايير موجودة: مبني على OAuth وJWT وHTTPS وOpenAPI وMCP، والشركات تقدر تستعمل الأدوات اللي عندها بسرعة، مع إمكانية التوسعة حسب كل قطاع.

عطي المهمة للـAI Agent، بلا ما تثبّت حتى حاجة؛
إلى كانت المهمة كتحتاج حساب، سجّل الدخول بنفسك فصفحة الشركة؛
علّم بالموافقة على نطاق الصلاحيات ديال الـAgent؛
فأي وقت دخل لإعدادات الحساب باش تشوف الوكلاء المرتابطين وتقطع الربط بكليك وحدة.
نشر وثيقة metadata ديال العميل (client_id، المفتاح العمومي، وعنوان callback) باش تكون بمثابة بيانات الهوية ديال الـAgent؛
قرا ملف الاكتشاف poppy.json ديال الشركة باش تعرف طريقة تسجيل الدخول والواجهات المتاحة؛
صيفط للـtoken endpoint ديال الشركة assertion موقّع + إثبات DPoP، وبدا جلسة مجهولة وخذ Session Token؛
إلى كان الحساب ضروري، بادر بواحد من طرق تسجيل الدخول الثلاثة اللي كتدعمها الشركة: direct/device/mediated؛
من بعد موافقة المستخدم، خذ Account Token طويل المدة، خزّنو مشفّراً، ومن بعد استعملو بصمت باش تبدّل لجلسة مسجّلة الدخول؛
استعمل Session Token لاستدعاء API ديال الشركة (DPoP)، أو تصفّح الويب (assertion ديال المتصفح كيتبدّل لـCookie)، أو تحاور مع Agent ديال الشركة؛
تعامل مع أخطاء بحال تحديد المعدل 429، وإعادة المحاولة بشكل idempotent، وsign_in_required، وجدّد الصلاحية أو عاود تسجيل الدخول حسب المواصفات.
نشر ملف الاكتشاف فـ /.well-known/poppy.json، وصرّح بطرق تسجيل الدخول، ونطاق الصلاحيات، والواجهات المقدّمة؛
ضبط خادم OAuth حسب RFC 8414 والتصريح بـpoppy_domains؛
تحقق فكل طلب من توقيع الـAgent، وإثبات DPoP، وصلاحيات scope؛
طبّق نفس فحص الصلاحيات فالموقع، والـAPI، والـAgent ديال الشركة، وقنوات خدمة الزبناء البشرية؛
وفّر صفحة تفويض مطابقة للمعايير، كتعرض هوية الـAgent وشرح الصلاحيات، ومدخل قطع الربط فإعدادات الحساب.

كيحط حد لمشكل ”يا كلشي يا والو”: بين جوج التطرفات، ”الـAgent كينتحل شخصية المستخدم” و”الشركة كتحظر الوكلاء”، كيوفّر حل وسط فيه التعرف على الهوية والتفويض المتدرّج.
الشركة تقدر تتعرّف على الوكيل وتتحكم فيه: كل طلب مربوط بـclient_id موثّق، ومعرّف المستخدم، وscope؛ وأخيراً الشركة عارفة ”شكون كيدير شنو بلاصة شكون، وشنو يقدر يدير”.
المستخدم ما كيعطيش كلمة السر والصلاحيات كتكون محدودة: المستخدم كيسجّل الدخول وكيعطي التفويض فصفحة الشركة نفسها، والوكيل كياخذ غير رمز محدود النطاق، ويمكن إلغاؤه فأي وقت.
تنفيذ واحد واستعمال فكل بلاصة: الهدف ديال البروتوكول هو تغطية جميع التفاعلات بين الشركات والـAgentات الشخصية؛ كل طرف كينفذ مرة وحدة ويقدر يتصل بجميع الأطراف اللي كتدعم البروتوكول.
إعادة استعمال المعايير الموجودة بالكامل: مبني على OAuth 2.0 وJWT وDPoP وOpenAPI وMCP، وخادم التفويض الموجود عند الشركة يقدر غالباً يتعدّل ويدمج مباشرة.

الموقع الرسمي ديال المشروع: https://personalagentprotocol.org/

مبني على المعايير الموجودة: OAuth وJWT وHTTPS وOpenAPI وMCP كتستعمل إلى كانت متاحة، وما كيتعرّف حتى عنصر جديد إلا فالأماكن اللي ما كيغطيها حتى معيار؛
أدوات ماشي سياسات: البروتوكول غير كيوفّر الاختيارات، والشركة كتقرر واش خاص المجهول أو تسجيل الدخول، وشنو الوكلاء اللي تسمح ليهم، وشنو القنوات اللي تفتح؛ والمستخدم كيقرر واش الوكيل يقدر يشوف ولا يبدّل؛
الأمان والخصوصية: الوكيل ديما كيبيّن الهوية ديالو، ولكن قبل ما يسجّل المستخدم الدخول، الشركة ما كتشوف غير معرّف ثابت ما فيه حتى معلومة شخصية؛ معرّف نفس المستخدم كيختلف من شركة لشركة، ويمكن التعرف على الزبون اللي رجع بلا تتبعو بين المواقع؛ والتفويض قابل للإلغاء؛
اعتماد تدريجي: الشركة تقدر تبدا غير بالويب، أو بالـAPI، أو بالـAgent اللي بناتو، ومن بعد توسّع تدريجياً بلا ما تعاود تبني النظام الموجود؛
قابل للتوسعة: الاكتشاف والهوية والـAPI والمحادثة هما أربعة مكوّنات أساسية، والقطاعات تقدر توسّع فوقها قدرات بحال الأداء، والإشعارات الفورية، ومكوّنات التفاعل؛
رخصة مفتوحة المصدر Apache 2.0.

إرجاع وتبديل المشتريات الإلكترونية: المستخدم كيقول للـAgent ”رجّع الجاكيطة”، والـAgent كيقلب على سياسة الإرجاع بصفة زائر، ومن بعد تفويض المستخدم وتسجيل الدخول كيكمل الإرجاع أو التبديل أوتوماتيكياً.
تغيير الرحلة الجوية: من بعد ما تلغى الرحلة، الـAgent كيقلب فالنّافذة البديلة عبر واجهة MCP ديال شركة الطيران، ومن بعد موافقة المستخدم كيكمل تغيير الرحلة أوتوماتيكياً.
الموافقة الأولية على قرض السكن: من بعد التفويض، Agent ديال Muse من Meta كيتعاون مع Agent ديال Rocket باش يكمل تأكيد الثمن، والتسبيق، ونسبة الفائدة، وكيصدر رسالة الموافقة الأولية فدقائق.
الخدمات البنكية: إلا عطى المستخدم غير صلاحية poppy:read، فالـAgent يقدر يشوف الرصيد وكشوفات الحساب؛ أما العمليات اللي كتبدّل البيانات، بحال التحويل، فخاصها تفويض منفصل بـpoppy:write.
الضمان وتصعيد خدمة الزبناء: الـAgent كيهضر مع Agent ديال خدمة الزبناء فالشركة وكيعالج موضوع الضمان؛ وفالحالات المعقدة كينقلها أوتوماتيكياً لموظف بشري أو كيفتح محادثة مباشرة بين المستخدم وموظف الشركة.