Sierra rilascia Poppy 1.0 con il supporto per Shopify e Meta Muse

Il 13 novembre 2026, Sierra ha rilasciato Personal Agent Protocol 1.0, noto come Poppy, con supporto automatico per tutti i negozi Shopify e abilitazione nell’agente Muse di Meta. Sierra ha dichiarato che altri 60 partner di progettazione si stanno unendo al progetto, portando il totale a oltre 100.

Poppy definisce come un agente personale che agisce per conto di un utente individua un’azienda e interagisce con essa tramite le sue API, il suo sito web o il suo agente aziendale. Il rilascio arriva dopo cinque settimane di test delle bozze da parte dei partner di progettazione, condotti su siti web, API e agenti reali. Le modifiche consentono un’adozione graduale, perfezionano l’uso degli standard esistenti, ampliano le indicazioni per le aziende e i riscontri degli agenti e introducono estensioni che permettono ai diversi settori di aggiungere funzionalità senza modificare il protocollo di base.

Ora Muse cerca automaticamente Poppy per prima cosa su ogni sito che visita. Qualsiasi azienda può implementare il protocollo autonomamente, rendendolo disponibile quando Muse visita il suo sito. Tra i nuovi partner di progettazione figurano Cisco, Delta Air Lines, Intuit, Salesforce, Twilio e Zoom.

Come Poppy struttura l’accesso

La bozza delle specifiche richiede a un’azienda di pubblicare un poppy.json documento nel percorso del proprio dominio /.well-known/poppy.json tramite HTTPS. Il documento indica i canali, le funzionalità e le opzioni di accesso disponibili, mentre l’azienda sceglie quali canali e funzionalità offrire.

Un header Session firmato identifica l’agente personale e un utente pseudonimo, collegando le attività svolte sui diversi canali. OAuth standard autorizza separatamente le operazioni su un account aziendale. Le interazioni senza accesso possono funzionare senza un server OAuth, consentendo a un’azienda di offrire funzionalità limitate prima di implementare l’accesso all’account.

Gli ID utente restano stabili all’interno della stessa azienda, ma sono opachi e diversi da un’azienda all’altra: le imprese non possono quindi usarli per associare tra loro gli utenti. Le regole di sicurezza impongono di trattare i contenuti aziendali come dati e non come istruzioni, contrastando i tentativi di prompt injection volti a dirigere il modello. I token di accesso, i token di aggiornamento, i token Session, le chiavi private, i codici di autorizzazione e i codici dispositivo devono rimanere fuori dal contesto del modello. Le conversazioni indicano inoltre se ciascun messaggio è stato scritto da una persona o da un’IA e consentono di passare la conversazione a una persona.

Integrazione con Shopify e primi utilizzi aziendali

Ora ogni negozio Shopify pubblica automaticamente un file Poppy, senza che i commercianti debbano implementare nulla di aggiuntivo. Sierra ha dichiarato che la pubblicazione automatica riguarda le attività Shopify in oltre 175 paesi.

Poppy gestisce l’interazione iniziale, durante la quale un agente si identifica e apprende quali operazioni può svolgere, mentre Universal Commerce Protocol (UCP) gestisce la ricerca dei prodotti, i carrelli e il pagamento. Tutti i negozi Shopify supportano UCP per impostazione predefinita. Questa soluzione aggiunge un livello comune per individuare le aziende e gestire le autorizzazioni, anteponendolo al flusso di transazioni già esistente di Shopify.

Shopify ha inoltre contribuito alla stesura dell’estensione commerciale di Poppy, che collega i due protocolli. L’estensione supporta gli acquisti come ospite e quelli tramite account, richiede l’approvazione del cliente prima di determinate operazioni e si collega a UCP Ask per consentire conversazioni dirette tra l’agente dell’acquirente e quello del negozio.

I clienti Mercury possono usare agenti personali per controllare saldi e transazioni, classificare le spese, tenere traccia di budget e ricevute e avviare pagamenti o trasferimenti. Le richieste di pagamento devono comunque rispettare la policy di approvazione dell’account prima che venga inviato qualsiasi importo, mantenendo così un passaggio di autorizzazione per i trasferimenti di denaro avviati dagli agenti.

Turkish Airlines consente agli agenti di controllare le tariffe, lo stato dei voli e gli scali, oltre di recuperare le prenotazioni usando un codice di riferimento e il cognome. Gli iscritti a Miles&Smiles possono chiedere a un agente di trovare upgrade alla classe business, che i clienti devono approvare prima di pagare. La compagnia aerea sta ancora lavorando per consentire agli iscritti di completare un acquisto senza uscire dalla conversazione.

Il lavoro di Synchrony è ancora esplorativo. Sierra ha dichiarato che sta valutando una funzione di ricerca dei prodotti che tenga conto della convenienza economica, delle offerte pertinenti e dei prodotti di finanziamento, con possibili applicazioni nella sua rete di oltre 500.000 punti vendita convenzionati.

Strumenti di implementazione e stato della bozza

Il kit di implementazione per le aziende riguarda esclusivamente il lato aziendale e combina uno strumento per gli agenti di programmazione con un validatore da riga di comando. Il validatore funge da agente personale di test e indica quali requisiti del protocollo soddisfa un’implementazione. Il processo si articola in cinque fasi: analisi, progettazione, realizzazione, verifica e rendicontazione; la realizzazione inizia solo dopo che l’azienda ha approvato il progetto. Il validatore, che non richiede dipendenze, necessita di Node 22.18 o versioni successive; si raccomanda un ambiente di test, perché avvia Session reali e invia messaggi di prova all’agente aziendale.

L’annuncio di Sierra definisce il rilascio v1.0, mentre le specifiche e il kit lo indicano come bozza 1.0. Le specifiche consentono ulteriori modifiche correttive, comprese quelle non compatibili con le versioni precedenti. Shopify e Muse danno quindi a Poppy una portata immediata, prima che le sue basi tecniche siano del tutto consolidate. Per ogni implementazione, i limiti sostanziali sono definiti dall’insieme dei canali scelti dall’azienda, degli ambiti OAuth approvati dagli utenti e delle policy di approvazione che regolano le operazioni con conseguenze rilevanti.