بروتوكول الوكيل الشخصي (Poppy) مشروحاً للأنشطة التجارية

ما هو Poppy؟

بروتوكول الوكيل الشخصي (Personal Agent Protocol)، واسمه المختصر Poppy، بروتوكول مفتوح يحدد كيف تتعامل وكلاء الذكاء الاصطناعي الشخصية مع الأنشطة التجارية. منشور على personalagentprotocol.org، ويحدد طرفين:

• الوكيل الشخصي: المساعد الذي يتصرف نيابة عن الشخص.
• الشركة: النشاط التجاري الذي يتعامل معه الوكيل.

هذا الدليل عن جانب الشركة: ما الذي يجب أن يقدمه نشاطك ليتعامل معه أي وكيل متوافق، دون ربط منفصل لكل مساعد.

اللبنات الخمس

1. الاكتشاف: ملف poppy.json

ينشر النشاط ملف JSON صغيراً على https://نطاقك/.well-known/poppy.json. يذكر اسم المنظمة، ويشير إلى خادم التفويض والواجهات البرمجية والإضافات المدعومة. والوكيل الذي يقرأه يعرف كيف يتابع.

2. هوية الوكيل

لا يدخل الوكلاء بمفتاح API مشترك. لكل وكيل بيانات تعريف ومفاتيح عامة ينشرها، ويثبت هويته بتوقيع رقمي (OAuth 2.0 ‏private_key_jwt، RFC 7523). ويستطيع النشاط أن يقرر أي الوكلاء يقبل.

3. الجلسات وإثبات الحيازة

يحصل الوكيل على رمز جلسة مربوط بمفتاحه عبر DPoP ‏(RFC 9449). كل طلب يحمل إثباتاً جديداً موقّعاً بذلك المفتاح، فالرمز المنسوخ وحده لا يكفي.

4. دخول الزبون

تبدأ الجلسة دون تسجيل دخول. وليتصرف الوكيل في حساب زبون، يطلب منه تسجيل الدخول لدى النشاط، عادةً برمز قصير على صفحة النشاط نفسه (RFC 8628). لا يرى المساعد كلمة سر الزبون أبداً، والنتيجة رمز حساب يستطيع النشاط إلغاءه في أي وقت.

5. الواجهات والعمليات

يعرض النشاط ما يسمح به للوكلاء عبر واجهات قياسية (وصف OpenAPI أو خادم MCP). وللعمليات التي تغيّر شيئاً، تضيف إضافة العمليات نمطاً آمناً:

• يقترح الوكيل عملية، ويحصل على شروطها الدقيقة وملخصها؛
• يوافق الزبون على تلك النسخة بالضبط؛
• يؤكدها الوكيل، وينفّذها النشاط مرة واحدة على الأكثر؛
• إذا تغيّرت الشروط، لا تعود الموافقة القديمة صالحة؛
• لكل عملية حالة نهائية ونتيجة.

كيف يبدو ذلك عملياً؟

تخيّل زبوناً يقول لمساعده: "أرجِع الجاكيت الذي اشتريته الأسبوع الماضي".

1. يقرأ المساعد ملف poppy.json للمتجر.
2. يبدأ جلسة بمفتاحه.
3. يسجّل الزبون دخوله على صفحة المتجر، برمز يعرضه المساعد.
4. يعرض المساعد طلبات الزبون ويقترح إرجاع أحدها.
5. يجيب المتجر بالشروط الدقيقة: هذا الطلب، وهذا المبلغ، وهذه الطريقة.
6. يوافق الزبون، ويؤكد المساعد، ويعالج المتجر الإرجاع مرة واحدة.

ما الذي يجب على النشاط تنفيذه؟

دعم Poppy من جانب الشركة يعني بناء وتشغيل:

• ملف الاكتشاف وبيانات خادم التفويض؛
• مصادقة العملاء بمفاتيح كل وكيل المنشورة؛
• التحقق من DPoP مع الحماية من إعادة الاستخدام؛
• تدفق الدخول بالرمز ورموز الحساب مع إمكانية إلغائها؛
• وصفاً للواجهة يستطيع الوكلاء استخدامه؛
• إضافة العمليات: النسخ، والموافقات، والتأكيد، ومنع التكرار، والحالات النهائية.

وفوق البروتوكول، يحتاج النشاط ضوابطه الخاصة: قواعد لكل عملية، ومراجعة من فريقه، وحدوداً، وسجلاً لما حدث، وطريقة لإيقاف كل شيء.

تبنيه بنفسك أم تستخدم بوابة؟

يمكنك تنفيذ البروتوكول مباشرة، فالمواصفة وحزمة التنفيذ الرسمية منشورتان. التكلفة هي الهندسة الأمنية ومواكبة البروتوكول مع تطوره.

Allowfy ينفّذ جانب الشركة من Poppy كبوابة. يستضيف الاكتشاف والتفويض والجلسات ودخول الزبائن والعمليات، ويضيف ضوابط النشاط: قواعد لكل عملية مع حدود للمبالغ وعبر الزمن، وموافقة الزبون على الشروط الدقيقة، ومراجعة الفريق، وإيقافاً طارئاً، وسجلاً موقّعاً. ويتصل نظامك عبر webhook موقّع، أو عبر حزمة allowfy مفتوحة المصدر.

افحص تنفيذك

أياً كان اختيارك، يمكنك اختبار أي نطاق مقابل البروتوكول بأداة Allowfy Check المجانية ومفتوحة المصدر: تجري 111 فحصاً وتقتبس المتطلب وراء كل نتيجة.