Poppy آپریشن میں

Poppy (Personal Agent Protocol) Sierra اور Meta سمیت متعدد کمپنیوں کا پیش کردہ اوپن پروٹوکول ڈرافٹ ہے، جو ذاتی AI Agent کے لیے کاروباری خدمات تک رسائی میں شناخت اور اجازت کے مسائل حل کرتا ہے۔ یہ پروٹوکول کاروباری اداروں کو /.well-known/poppy.json کے ذریعے Agent کے کنکشن کا طریقہ ظاہر کرنے دیتا ہے۔ Agent اپنی شناخت ظاہر کر کے OAuth کے ذریعے صارف کی نمائندگی میں کام انجام دے سکتا ہے۔ اجازتوں کو پانچ درجوں میں ایڈجسٹ کیا جا سکتا ہے، جبکہ ایک ہی لاگ اِن سیشن کو ویب سائٹس، API اور کاروباری ادارے کے اپنے Agent میں دوبارہ استعمال کیا جا سکتا ہے۔ اس وقت Stripe، Shopify، Walmart، Visa، OpenAI سمیت 35+ کاروباری ادارے شریک ہیں۔

شناخت کی پہچان: کاروباری ادارہ واضح طور پر جان سکتا ہے کہ رسائی حاصل کرنے والا ”کسی صارف کا AI Agent“ ہے۔
معیاری دریافت کا طریقہ: کاروباری ادارہ اپنی ویب سائٹ پر /.well-known/poppy.json فائل شائع کر کے Agent کے کنکشن کا طریقہ، لاگ اِن کا دروازہ اور دستیاب صلاحیتیں ظاہر کرتا ہے۔
درجہ بند اجازت: مکمل ممانعت سے مکمل اختیار تک اجازت کے پانچ درجے ہیں۔ کاروباری ادارہ دستیاب درجہ طے کرتا ہے، جبکہ صارف اجازت کی حدود طے کرتا ہے۔
OAuth محفوظ لاگ اِن: صارف کاروباری ادارے کے صفحے پر خود لاگ اِن کرتا ہے، اور Agent کو صرف صارف کی منظور کردہ کم سے کم دائرہ کار والا سیشن ٹوکن ملتا ہے۔
چینلز کے درمیان ایک ہی سیشن: ایک ہی ٹوکن کاروباری ادارے کی ویب سائٹ، API اور اس کے اپنے Agent کے درمیان دوبارہ استعمال ہو سکتا ہے، اس لیے تعامل کا سلسلہ منقطع نہیں ہوتا۔
متعدد ذرائع سے عمل درآمد: Agent براہِ راست ویب صفحات چلا سکتا ہے، OpenAPI/MCP انٹرفیسز کو کال کر سکتا ہے، یا کام مکمل کرنے کے لیے کاروباری ادارے کے اپنے AI Agent کے ساتھ تعاون کر سکتا ہے۔
مکمل آڈٹ اور منسوخی: کاروباری ادارہ Agent کے تمام اقدامات کا راستہ دیکھ سکتا ہے، جبکہ صارف کسی بھی وقت اجازت واپس لے سکتا ہے۔
موجودہ معیارات پر مبنی: OAuth، JWT، HTTPS، OpenAPI اور MCP پر تعمیر کیا گیا ہے۔ کاروباری ادارے موجودہ ٹولز سے تیزی سے نفاذ کر سکتے ہیں، اور صنعتی سطح پر حسبِ ضرورت توسیع بھی ممکن ہے۔

AI Agent کو کام سون دیں، کسی چیز کی تنصیب کی ضرورت نہیں؛
جب کام کے لیے اکاؤنٹ درکار ہو تو کاروباری ادارے کے صفحے پر خود لاگ اِن کریں؛
Agent کی اجازتوں کی حد منظور کرنے کے لیے نشان لگائیں؛
اکاؤنٹ کی ترتیبات میں منسلک Agents دیکھیں اور کسی بھی وقت ایک کلک سے منقطع کریں۔
کلائنٹ میٹا ڈیٹا دستاویز (client_id، عوامی کلید، callback address) شائع کریں تاکہ Agent کی شناخت کی تصدیق ہو؛
کاروباری ادارے کی poppy.json دریافت فائل پڑھیں اور اس کے لاگ اِن طریقے اور دستیاب انٹرفیسز جانیں؛
کاروباری ادارے کے token endpoint کو دستخط شدہ دعویٰ + DPoP ثبوت بھیجیں، گمنام سیشن شروع کریں اور Session Token حاصل کریں؛
اکاؤنٹ درکار ہونے پر کاروباری ادارے کے معاون طریقے کے مطابق direct/device/mediated میں سے کسی ایک لاگ اِن کا آغاز کریں؛
صارف کی منظوری کے بعد طویل مدتی Account Token حاصل کریں، اسے خفیہ صورت میں محفوظ کریں، پھر خاموشی سے لاگ اِن شدہ سیشن حاصل کریں؛
Session Token کے ذریعے کاروباری ادارے کی API کو کال کریں (DPoP)، ویب صفحات براؤز کریں (براؤزر دعوے کو Cookie میں تبدیل کر کے)، یا کاروباری ادارے کے Agent سے گفتگو کریں؛
429 حد سے تجاوز، idempotent retry، sign_in_required اور دیگر خرابیوں کو سنبھالیں، اور معیار کے مطابق تجدید یا دوبارہ لاگ اِن کریں۔
/.well-known/poppy.json پر دریافت فائل شائع کریں اور لاگ اِن کے طریقے، اجازتوں کی حدود اور فراہم کردہ انٹرفیسز ظاہر کریں؛
RFC 8414 کے مطابق OAuth سرور ترتیب دیں اور poppy_domains ظاہر کریں؛
ہر درخواست پر Agent کے دستخط، DPoP ثبوت اور scope کی اجازت کی جانچ کریں؛
ویب، API، کاروباری Agent اور انسانی کسٹمر سروس سمیت تمام چینلز پر اجازت کی یکساں جانچ نافذ کریں؛
مطابقِ ضابطہ اجازت کا صفحہ (Agent کی شناخت اور اجازتوں کی وضاحت سمیت) اور اکاؤنٹ کی ترتیبات میں منقطع کرنے کا داخلی راستہ فراہم کریں۔

”سب یا کچھ نہیں“ کی مشکل ختم کرتا ہے: ”Agent کا صارف بن کر ظاہر ہونا“ اور ”کاروباری ادارے کا Agent پر پابندی لگانا“، ان دونوں انتہاؤں کے درمیان شناخت کی پہچان اور درجہ بند اجازت کا درمیانی حل فراہم کرتا ہے۔
کاروباری ادارہ Agent کو پہچان اور کنٹرول کر سکتا ہے: ہر درخواست تصدیق شدہ client_id، صارف ID اور scope سے منسلک ہوتی ہے، اس لیے کاروباری ادارہ جان سکتا ہے کہ ”کون کس کی جانب سے کیا کر رہا ہے اور کیا کر سکتا ہے“۔
صارف پاس ورڈ فراہم نہیں کرتا، اجازتیں کم سے کم رہتی ہیں: صارف کاروباری ادارے کے اپنے صفحے پر لاگ اِن ہو کر اجازت دیتا ہے، Agent کو صرف محدود دائرہ کار والا ٹوکن ملتا ہے، جسے کسی بھی وقت منسوخ کیا جا سکتا ہے۔
ایک بار نفاذ، ہر جگہ استعمال: پروٹوکول کا مقصد کاروباری اداروں اور ذاتی Agents کے درمیان ہر قسم کے تعامل کا احاطہ کرنا ہے، تاکہ دونوں فریق ایک بار نفاذ کے بعد تمام معاون فریقوں سے منسلک ہو سکیں۔
موجودہ معیارات کا مکمل دوبارہ استعمال: OAuth 2.0، JWT، DPoP، OpenAPI اور MCP پر مبنی ہے، اس لیے کاروباری ادارے اپنے موجودہ authorization server کو عموماً براہِ راست ڈھال کر شامل کر سکتے ہیں۔

پروجیکٹ کی ویب سائٹ: https://personalagentprotocol.org/

موجودہ معیارات پر مبنی: OAuth، JWT، HTTPS، OpenAPI اور MCP جہاں دستیاب ہوں استعمال کیے جائیں؛ نئی چیز صرف وہاں متعین کی جائے جہاں کوئی معیار موجود نہ ہو؛
پالیسی نہیں، کنٹرولز: پروٹوکول صرف اختیارات فراہم کرتا ہے۔ کاروباری ادارہ گمنام یا لاگ اِن کی ضرورت، کن Agents کو اجازت دینی ہے اور کون سے چینلز کھولنے ہیں، طے کرتا ہے؛ صارف طے کرتا ہے کہ Agent صرف دیکھ سکتا ہے یا ترمیم بھی کر سکتا ہے؛
سکیورٹی اور رازداری: Agent ہمیشہ اپنی شناخت ظاہر کرے، لیکن صارف کے لاگ اِن سے پہلے کاروباری ادارہ صرف ذاتی معلومات سے پاک ایک مستقل ID دیکھ سکے۔ مختلف کاروباری اداروں میں ایک ہی صارف کی IDs الگ ہوں، تاکہ واپس آنے والے صارف کی شناخت ممکن ہو مگر مختلف سائٹس پر ٹریکنگ نہ ہو؛ اجازت واپس لی جا سکے؛
مرحلہ وار اختیار: کاروباری ادارہ ابتدا میں صرف ویب، API یا اپنے Agent میں سے کسی ایک سے شروع کر کے بتدریج توسیع کر سکتا ہے، موجودہ نظام کی ازسرنو تعمیر ضروری نہیں؛
قابلِ توسیع: دریافت، شناخت، API اور گفتگو چار بنیادی تعمیراتی حصے ہیں۔ صنعت ان کی بنیاد پر ادائیگی، پش اطلاعات، تعاملی اجزا اور دیگر صلاحیتیں بڑھا سکتی ہے؛
Apache 2.0 اوپن سورس لائسنس۔

ای کامرس میں واپسی اور تبدیلی: صارف Agent سے کہتا ہے ”جیکٹ واپس کر دو“۔ Agent مہمان کی حیثیت سے واپسی کی پالیسی دیکھتا ہے، اور صارف کے لاگ اِن و اجازت دینے کے بعد واپسی یا تبدیلی خودکار طور پر مکمل کرتا ہے۔
پرواز کی تبدیلی: پرواز منسوخ ہونے کے بعد Agent ایئرلائن کے MCP انٹرفیس کے ذریعے متبادل پروازیں تلاش کرتا ہے اور صارف کی منظوری کے بعد پرواز تبدیل کر دیتا ہے۔
ہوم لون کی پیشگی منظوری: صارف کی اجازت کے بعد Meta کا Muse Agent اور Rocket کا Agent قیمت، ڈاؤن پیمنٹ اور شرحِ سود کی تصدیق کے لیے تعاون کرتے ہیں اور چند منٹ میں پیشگی منظوری کا خط جاری کرتے ہیں۔
بینکنگ خدمات: جب صارف صرف poppy:read کی اجازت دیتا ہے تو Agent بیلنس اور بل دیکھ سکتا ہے؛ رقم منتقل کرنے جیسے تحریری کاموں کے لیے poppy:write کی الگ اجازت درکار ہوتی ہے۔
وارنٹی اور کسٹمر سروس میں منتقلی: Agent وارنٹی سے متعلق کام کے لیے کاروباری ادارے کے کسٹمر سروس Agent سے گفتگو کرتا ہے، جبکہ پیچیدہ صورتِ حال خودکار طور پر انسانی نمائندے کو منتقل کی جاتی ہے یا صارف اور کاروباری ماہر کے درمیان براہِ راست گفتگو شروع کی جاتی ہے۔