Sierra brengt Poppy 1.0 uit met ondersteuning voor Shopify en Meta Muse

Sierra bracht Personal Agent Protocol 1.0 uit, bekend als Poppy, op 13 november 2026, met automatische ondersteuning voor elke Shopify-winkel en integratie in Meta’s Muse-agent. Volgens Sierra sluiten 60 extra bedrijven zich aan als ontwerppartners, waarmee het totaal op meer dan 100 komt.

Poppy beschrijft hoe een persoonlijke agent die namens één gebruiker handelt, een bedrijf ontdekt en gebruikmaakt van de API’s, website of bedrijfsagent ervan. De release volgt op vijf weken waarin ontwerppartners conceptversies hebben getest met echte websites, API’s en agents. De wijzigingen maken gefaseerde invoering mogelijk, verfijnen het gebruik van bestaande standaarden, breiden de richtlijnen voor bedrijven en de feedback van agents uit, en introduceren uitbreidingen waarmee bedrijfstakken mogelijkheden kunnen toevoegen zonder het kernprotocol te wijzigen.

Muse zoekt nu automatisch eerst naar Poppy op elke site die het bezoekt. Elk bedrijf kan het protocol zelfstandig implementeren, zodat het beschikbaar is wanneer Muse de site bezoekt. De nieuwe ontwerppartners zijn Cisco, Delta Air Lines, Intuit, Salesforce, Twilio en Zoom.

Hoe Poppy de toegang structureert

De conceptspecificatie vereist dat een bedrijf een poppy.json document publiceert op het /.well-known/poppy.json domeinpad via HTTPS. Het document vermeldt welke kanalen, mogelijkheden en aanmeldopties beschikbaar zijn, terwijl het bedrijf bepaalt welke kanalen en mogelijkheden het aanbiedt.

Een ondertekende Session-header identificeert de persoonlijke agent en een pseudonieme gebruiker, en koppelt activiteiten via verschillende kanalen aan elkaar. Standaard-OAuth autoriseert afzonderlijk acties op een bedrijfsaccount. Interacties zonder aangemelde gebruiker kunnen plaatsvinden zonder OAuth-server, zodat een bedrijf beperkte functionaliteit beschikbaar kan stellen voordat het accounttoegang implementeert.

Gebruikers-ID’s blijven bij één bedrijf stabiel, maar zijn ondoorzichtig en verschillen per bedrijf. Bedrijven kunnen ze dus niet gebruiken om gebruikers aan elkaar te koppelen. Beveiligingsregels schrijven voor dat bedrijfsinhoud als gegevens wordt behandeld en niet als instructies, om pogingen tot promptinjectie tegen te gaan die het model proberen aan te sturen. Toegangstokens, vernieuwingstokens, Session-tokens, privésleutels, autorisatiecodes en apparaatcodes mogen niet in de modelcontext terechtkomen. In gesprekken wordt ook aangegeven of elk bericht door een persoon of AI is geschreven, en is het mogelijk de interactie over te dragen aan een persoon.

Shopify-integratie en eerste toepassingen bij bedrijven

Elke Shopify-winkel publiceert nu automatisch een Poppy-bestand, zonder dat de winkelier daarvoor iets extra’s hoeft te implementeren. Volgens Sierra geldt deze automatische publicatie voor Shopify-bedrijven in meer dan 175 landen.

Poppy regelt de eerdere interactie waarin een agent zichzelf identificeert en te weten komt wat die mag doen, terwijl Universal Commerce Protocol (UCP) productontdekking, winkelwagens en afrekenen afhandelt. Elke Shopify-winkel ondersteunt UCP standaard. Deze opzet voegt een gemeenschappelijke laag voor bedrijfsontdekking en machtigingen toe vóór de bestaande transactiestroom van Shopify.

Shopify heeft ook meegewerkt aan Poppy’s commerce-uitbreiding, die de twee protocollen met elkaar verbindt. Deze ondersteunt winkelen als gast en winkelen via een account, vereist klantgoedkeuring voordat bepaalde acties worden uitgevoerd en koppelt aan UCP Ask voor rechtstreekse gesprekken tussen de agents van shoppers en winkels.

Klanten van Mercury kunnen persoonlijke agents gebruiken om saldi en transacties te controleren, uitgaven te categoriseren, budgetten en bonnetjes bij te houden en betalingen of overschrijvingen te starten. Betalingsverzoeken moeten nog steeds voldoen aan het goedkeuringsbeleid van de rekening voordat er iets wordt verstuurd. Zo blijft er een autorisatiestap bestaan voor geldverplaatsingen die door agents worden gestart.

Turkish Airlines ondersteunt het laten controleren van tarieven, vluchtstatus en tussenstops door agents, en het opvragen van boekingen met een referentienummer en achternaam. Leden van Miles&Smiles kunnen een agent zakelijke upgrades laten zoeken, die klanten goedkeuren voordat ze betalen. De luchtvaartmaatschappij werkt nog aan de mogelijkheid voor leden om een aankoop af te ronden zonder het gesprek te verlaten.

Het werk van Synchrony bevindt zich nog in een verkennende fase. Volgens Sierra onderzoekt het bedrijf productontdekking waarbij rekening wordt gehouden met betaalbaarheid, relevante aanbiedingen en financieringsproducten, met mogelijk gebruik binnen zijn netwerk van meer dan 500.000 winkellocaties.

Implementatietools en status van het concept

De implementatiekit voor bedrijven is uitsluitend bedoeld voor de bedrijfskant en combineert een vaardigheid voor codeeragents met een validator voor de opdrachtregel. De validator fungeert als testagent voor persoonlijke agents en rapporteert aan welke protocolvereisten een implementatie voldoet. Het proces bestaat uit vijf fasen: inventarisatie, ontwerp, bouw, verificatie en rapportage. De bouw begint pas nadat het bedrijf het ontwerp heeft goedgekeurd. De validator heeft geen afhankelijkheden en vereist Node 22.18 of hoger; een testomgeving wordt aanbevolen, omdat de validator echte Sessions start en testberichten naar de bedrijfsagent stuurt.

In de aankondiging noemt Sierra de release v1.0, terwijl de specificatie en de kit deze aanduiden als conceptversie 1.0. De specificatie staat verdere aanpassingen toe, waaronder wijzigingen die niet achterwaarts compatibel zijn. Shopify en Muse zorgen er dus voor dat Poppy meteen een groot bereik heeft, voordat de technische basis volledig vastligt. Voor elke implementatie wordt de inhoudelijke grens bepaald door de combinatie van door het bedrijf geselecteerde kanalen, door de gebruiker goedgekeurde OAuth-scopes en goedkeuringsbeleid voor ingrijpende acties.