Sierra lance Poppy 1.0 avec la prise en charge de Shopify et de Meta Muse

Le 13 novembre 2026, Sierra a publié Personal Agent Protocol 1.0, connu sous le nom de Poppy, avec une prise en charge automatique dans toutes les boutiques Shopify et son activation dans l’agent Muse de Meta. Sierra a indiqué que 60 entreprises supplémentaires rejoignaient le programme en tant que partenaires de conception, portant le total à plus de 100.

Poppy définit comment un agent personnel agissant pour le compte d’un utilisateur découvre une entreprise et interagit avec elle par l’intermédiaire de ses API, de son site web ou de son agent d’entreprise. Cette version fait suite à cinq semaines de tests des versions préliminaires par des partenaires de conception sur de vrais sites web, des API et des agents. Les changements permettent une adoption par étapes, précisent l’utilisation des normes existantes, étoffent les recommandations destinées aux entreprises et les retours des agents, et introduisent des extensions permettant aux secteurs d’ajouter des fonctionnalités sans modifier le protocole de base.

Muse recherche désormais automatiquement Poppy en priorité sur chaque site qu’il consulte. Toute entreprise peut mettre en œuvre le protocole de façon indépendante, qui devient alors disponible lorsque Muse consulte son site. Parmi les nouveaux partenaires de conception figurent Cisco, Delta Air Lines, Intuit, Salesforce, Twilio et Zoom.

Comment Poppy structure les accès

La spécification provisoire exige qu’une entreprise publie un poppy.json document sur son domaine, à l’emplacement /.well-known/poppy.json accessible en HTTPS. Ce document présente les canaux, les fonctionnalités et les options de connexion disponibles, tandis que l’entreprise choisit les canaux et les fonctionnalités qu’elle souhaite proposer.

Un en-tête Session signé identifie l’agent personnel et un utilisateur pseudonyme, et relie l’activité entre les différents canaux. OAuth standard autorise séparément les actions sur un compte d’entreprise. Les interactions sans connexion peuvent fonctionner sans serveur OAuth, ce qui permet à une entreprise de proposer des fonctionnalités limitées avant de mettre en place l’accès aux comptes.

Les identifiants utilisateur restent stables au sein d’une même entreprise, mais sont opaques et différents d’une entreprise à l’autre ; les entreprises ne peuvent donc pas s’en servir pour faire correspondre les utilisateurs entre elles. Les règles de sécurité exigent que le contenu des entreprises soit traité comme des données et non comme des instructions, afin de contrer les tentatives d’injection de prompt visant à orienter le modèle. Les jetons d’accès, les jetons de renouvellement, les jetons Session, les clés privées, les codes d’autorisation et les codes d’appareil ne doivent pas être intégrés au contexte du modèle. Les conversations précisent également si chaque message a été rédigé par une personne ou par une IA et permettent de transférer l’échange à une personne.

Intégration à Shopify et premiers cas d’usage en entreprise

Toutes les boutiques Shopify publient désormais automatiquement un fichier Poppy, sans qu’aucune mise en œuvre supplémentaire soit nécessaire de la part des marchands. Sierra a indiqué que cette publication automatique concerne les entreprises Shopify dans plus de 175 pays.

Poppy prend en charge l’étape préalable, au cours de laquelle un agent s’identifie et découvre les actions qu’il est autorisé à effectuer, tandis que Universal Commerce Protocol (UCP) gère la découverte de produits, les paniers et le paiement. Toutes les boutiques Shopify prennent en charge UCP par défaut. Cette organisation ajoute, en amont du processus transactionnel existant de Shopify, une couche commune de découverte des entreprises et de gestion des autorisations.

Shopify a également coécrit l’extension commerciale de Poppy, qui relie les deux protocoles. Celle-ci prend en charge les achats en tant qu’invité et les achats associés à un compte, exige l’approbation du client avant certaines actions et se connecte à UCP Ask pour permettre des échanges directs entre l’acheteur et les agents de la boutique.

Les clients de Mercury peuvent utiliser des agents personnels pour consulter leurs soldes et leurs transactions, catégoriser leurs dépenses, gérer leurs budgets et leurs reçus, ainsi qu’initier des paiements ou des virements. Les demandes de paiement restent soumises à la politique d’approbation du compte avant tout envoi, ce qui maintient une étape d’autorisation pour les mouvements de fonds initiés par un agent.

Turkish Airlines permet aux agents de vérifier les tarifs, le statut des vols et les escales, ainsi que de retrouver une réservation à l’aide d’un numéro de référence et d’un nom de famille. Les membres de Miles&Smiles peuvent demander à un agent de trouver des surclassements en classe affaires, qu’ils doivent approuver avant de payer. La compagnie aérienne travaille encore à permettre aux membres de finaliser un achat sans quitter la conversation.

Les travaux de Synchrony sont exploratoires. Sierra a indiqué que l’entreprise étudie des solutions de découverte de produits tenant compte de leur accessibilité financière, des offres pertinentes et des produits de financement, qui pourraient être utilisées dans son réseau de plus de 500 000 points de vente partenaires.

Outils de mise en œuvre et statut provisoire

Le kit de mise en œuvre destiné aux entreprises couvre uniquement le volet entreprise et associe une compétence pour agent de programmation à un outil de validation en ligne de commande. Celui-ci joue le rôle d’un agent personnel de test et indique quelles exigences du protocole sont satisfaites par un déploiement. Son processus en cinq étapes comprend l’étude, la conception, la réalisation, la vérification et la production d’un rapport ; la réalisation ne commence qu’après l’approbation de la conception par l’entreprise. Cet outil de validation sans dépendances nécessite Node 22.18 ou une version ultérieure. Un environnement de test est recommandé, car l’outil ouvre de véritables Sessions et envoie des messages de test à l’agent de l’entreprise.

Dans son annonce, Sierra qualifie cette version de v1.0, tandis que la spécification et le kit la désignent comme la version provisoire 1.0. La spécification autorise d’autres modifications, y compris des changements incompatibles avec les versions antérieures. Shopify et Muse confèrent donc à Poppy une portée immédiate, alors même que ses fondements techniques ne sont pas encore entièrement définis. Pour chaque déploiement, la portée concrète repose sur la combinaison des canaux choisis par l’entreprise, des autorisations OAuth approuvées par l’utilisateur et des politiques d’approbation encadrant les actions ayant des conséquences importantes.