「返品の手続きをお願い」「欠航した便を予約し直して」。こうした依頼を個人のAIが企業と直接やり取りして進めるための共通ルールが、Personal Agent Protocol、通称「Poppy」です。
Sierraは2026年10月9日、Poppyの仕様草案を公開しました。本記事は2026年10月10日に一次資料を確認した内容です。草案の仕組みと、企業サイトやAPIを運営する側が考えておきたい点を解説します。
Poppyとは何か
Poppyは、ユーザーの代理として動く個人AIと企業の間で、接続方法、認証、許可された操作などを定める仕様です。AIモデルや単体のチャットアプリではありません。
目指しているのは、ユーザーがAIに任せる範囲を選び、企業も受け入れる操作を決められる関係です。個人AIは、企業が提供するWebサイト、API、企業側のAIを通じて仕事を進めます。APIは、ソフトウェア同士が情報や操作をやり取りする窓口と考えると分かりやすいでしょう。出典：Poppy公式サイト
なぜ共通ルールが必要なのか
人向けの画面を操作するAIに対して、企業は「どのAIが来たのか」「誰の代理なのか」「どこまで許可されているのか」を判断する必要があります。
本人と同じ権限でログインできてしまうと、注文の確認だけを任せたつもりでも、変更まで可能になる恐れがあります。一方、AIを一律に遮断すれば、ユーザーが希望する代理手続きも進められません。
Poppyは、その間に選択肢を設けようとしています。閲覧と変更を分けるなど、任せる範囲を明示し、企業側もその範囲に応じて対応する仕組みです。出典：Poppy公式サイト
仕組みは「発見・認証・実行」
最初の入り口は、企業がWebサイトの /.well-known/poppy.json に公開する接続情報です。個人AIはこの情報から、ログイン方法や利用できるAPI、企業側のAIなどを確認します。企業が用意する「AI向けの案内板」に近い役割です。
次に、個人AIが企業とのセッションを開始します。セッションとは、一連のやり取りを同じ訪問として扱う単位です。アカウント情報が必要な場合は、ユーザーのログインと権限の承認を行います。本人が企業のページでログインする方式には、OAuthという既存の仕組みを使います。
その後、個人AIは許可された範囲でWebページを操作したり、APIを呼び出したり、企業側のAIと会話したりします。草案では、これらを同じセッションに結び付ける設計が示されています。Web閲覧とAPIでは認証情報の扱いが異なるため、すべての経路で同じトークンをそのまま使うという意味ではありません。出典：Poppy仕様草案
返品や再予約ではどう使うのか
Sierraは、ジャケットの返品や、欠航した航空便の再予約を利用例として挙げています。
返品なら、個人AIが企業の接続情報を確認し、ユーザーの承認後に手続きを進めます。企業は返品の開始を許可しながら、登録された支払い情報の変更は許可しない、といった制御を想定しています。
再予約の例では、個人AIが航空会社の予約ツールに接続して候補を探し、ユーザーに座席を確認してから予約します。これらは仕組みを説明する例であり、あらゆる店舗や航空会社で現在利用できるという発表ではありません。出典：Sierraの草案公開発表
企業サイトやAPIへの示唆
ここからは、公開資料を踏まえた筆者の見立てです。企業が検討する際は、AIにどの業務を任せられるか、操作ごとに整理することが出発点になるでしょう。
例えば、商品情報の参照、注文履歴の確認、返品申請、決済情報の変更では、必要な権限も影響も異なります。本人確認のタイミング、実行前の確認、失敗時の案内、人への引き継ぎを業務ごとに設計する必要があります。
案内板となるファイルを公開するだけで、既存の業務が自動化されるわけではありません。サイトやAPIの裏側で権限を確認し、許可された操作だけを実行できることが重要です。
また、人が読む商品説明や利用条件と、APIが返す情報の整合性を点検する価値もあると考えます。価格、返品条件、受付状況などが経路によって食い違えば、利用者への説明や手続きに混乱が生じるためです。
MCPとの関係と、現在の提供段階
Poppyは、OAuth、JWT、HTTPS、OpenAPI、MCPなどの既存技術を活用します。MCPは企業が提供できるAPIの形式の一つとして扱われており、PoppyがMCPを置き換えるという説明ではありません。出典：Poppy仕様草案
Sierraは10月9日、OpenAI、Visa、PayPal、Cloudflare、Notionなど35社の設計パートナー追加も公表しました。これらの企業は設計に参加し、意見を提供する立場です。全社が本番導入を終えたという意味ではありません。同発表では、今後1か月で設計ワークショップを開催し、参照実装を公開する予定も示しています。出典：Sierraの草案公開発表
確認時点の仕様はDraft 0.1で、安定版までに互換性を保たない変更もあり得ると明記されています。安全性や普及、誰でも全機能を使える状態が保証されたわけではありません。出典：Poppy仕様草案
Poppy対応によってSEO順位が上がったり、AIからの推薦が保証されたりする根拠も、今回確認した一次資料にはありません。現段階では、個人AIとの取引に必要な接続と権限管理を考えるための仕様草案として、今後の更新と実装状況を確認していくことが適切でしょう。
名古屋でDXコンサルティング、生成AI活用、Microsoft 365／Copilot活用、業務システム開発をご検討の場合は、株式会社光翼へご相談ください。
Follow on LinkedIn