Auteur : Hualin Dance King
Édité par Jingyu
L'ère où l'agent « consomme » au nom de l'utilisateur est enfin arrivée.
Le 13 novembre 2026, heure américaine, deux entreprises ont organisé deux lancements le même jour. D’un côté, l’entreprise de agents conversationnels d’entreprise Sierra, en partenariat avec Meta, a officiellement lancé le protocole Poppy v1.0 pour les agents personnels, résolvant la question de la manière dont un assistant « entre » ; de l’autre, OpenAI a lancé le ChatGPT Wallet dédié aux assistants personnels dots, résolvant la question de la manière dont un assistant « paie ».
Connecter l'entrée et le paiement le même jour est déjà suffisamment intrigant. Ce qui mérite une attention particulière, c'est que les mêmes noms se trouvent derrière les deux solutions. Visa et Mastercard apparaissent simultanément sur les deux listes, tandis que des entreprises comme Shopify et Stripe, qui contrôlent l'infrastructure du commerce électronique et des paiements, figurent parmi les partenaires clés de Poppy.
La prochaine compétition de l'agent semble être une bataille pour le contrôle des points d'accès, mais la ligne souterraine réelle est une anticipation des positions sur les canaux commerciaux.
Protocole Agent personnel, PPP
Sierra et Meta publient ensemble le protocole d'agent personnel Poppy v1.0 | Crédit image : Blog officiel de Sierra
Autrefois, un assistant personnel ne pouvait accéder au site web d'une entreprise que comme un visiteur invisible ; les commerçants ne pouvaient pas identifier qui il était et n'osaient pas lui confier des opérations sensibles telles que la consultation de commandes, la modification d'adresse, la réservation de billets d'avion ou la pré-approbation financière.
Poppy, lancé par Meta et Sierra, vise à résoudre le problème fondamental de la confiance en permettant aux entreprises, lorsqu'elles reçoivent une demande, de confirmer par des moyens cryptographiques trois éléments : quel assistant frappe à la porte, quel utilisateur il représente, et quels niveaux d'autorisation il possède.
Le cœur du protocole Poppy est constitué par les « numéros de porte », les « fondations » et l'« autorisation bidirectionnelle ».
« Numéro de porte ». Les entreprises intégrant Poppy déposent un fichier de configuration à l'adresse standard de leur site web /.well-known/poppy. Vous pouvez le comparer à un guide pour les visiteurs affiché à l'entrée du magasin, précisant quels points de communication sont ouverts, comment se connecter et quelles opérations sont autorisées. Lorsqu'un assistant se présente, il n'a plus besoin de deviner comment cliquer sur les boutons du site : il consulte d'abord le numéro de porte pour agir conformément aux règles.
« Fondation ». Poppy ne remet pas en question les moyens de communication existants sur Internet ; il s'appuie directement sur l'autorisation OAuth, le transfert chiffré HTTPS, l'OpenAPI et le protocole de contexte de modèle. Si l'utilisateur consulte simplement les prix des produits, l'assistant peut dialoguer en tant qu'invité anonyme ; dès qu'une opération liée au compte est impliquée, une connexion autorisée est obligatoire pour que l'entreprise puisse vérifier l'identité de l'utilisateur.
« Autorisation bidirectionnelle ». L'utilisateur peut décider d'accorder à l'assistant un accès en lecture seule ou la possibilité de modifier des informations et d'effectuer des transactions ; de son côté, l'entreprise définit jusqu'où l'assistant externe peut aller sur son propre territoire. Les deux parties doivent approuver pour qu'une interaction soit valide.
D'après les informations publiées, Sierra et Meta collaborent pour promouvoir ce protocole, ce qui constitue un complément parfait. Sierra, fondée par Bret Taylor, ancien co-PDG de Salesforce, et Clay Bavor, ancien cadre de Google, se concentre sur l'aide aux entreprises pour créer leurs propres agents de service client, se positionnant naturellement du côté de l'« hôte » ; quant à Muse, l'assistant personnel de Meta, il s'agit d'un « visiteur » typique qui doit frapper à la porte de nombreuses sites web. Chaque partie a apporté la moitié de l'effort nécessaire pour concrétiser ce standard. Actuellement, lorsqu'il accède aux sites participants, Muse recherche et appelle par défaut le protocole Poppy.
Les protocoles ouverts craignent le problème de démarrage à froid du type « qui vient en premier, l’œuf ou la poule ». Cette fois-ci, ce qui a véritablement aidé Poppy à franchir le seuil, c’est Shopify, un géant de l’infrastructure e-commerce.
En même temps que la publication du protocole, Shopify a activé et généré automatiquement les fichiers de découverte Poppy pour chaque commerçant dans plus de 175 pays à travers le monde, sans aucune configuration manuelle requise. En plus des plus de 100 partenaires de conception, incluant des représentants de divers secteurs tels que Delta Airlines, 1Password, Okta et Cloudflare, ce système d'accès a couvert un large périmètre dès le premier jour.
Agent sans espèces
Le problème d'entrée résolu, le prochain défi est le paiement.
Faire en sorte que l’agent paie pour vous suscite généralement une réaction de rejet. Le ChatGPT Wallet lancé par OpenAI a été conçu dans un but très clair : permettre à l’agent de mener la transaction jusqu’à son terme, sans jamais avoir accès aux informations financières réelles.
Dans le processus d'achat réel, l'utilisateur peut faire en sorte que son dot recherche des produits, compare les prix, les ajoute au panier et prépare la page de paiement. Mais dès qu'il s'agit de procéder au paiement, le dot doit s'arrêter et laisser l'humain prendre la décision. L'utilisateur doit vérifier manuellement la liste des produits, le montant total et la carte bancaire sélectionnée, puis autoriser la transaction par une méthode biométrique telle que la reconnaissance faciale ou le balayage d'empreinte digitale.
L'assistant personnel d'OpenAI dot (Rufus) lance une confirmation d'achat « Review purchase » dans la conversation | Crédit image : OpenAI
Des mécanismes de sécurité encore plus cruciaux sont intégrés en arrière-plan. Que ce soit le livreur dot ou le commerçant qui reçoit le paiement, aucun des deux ne voit jamais votre numéro de carte de crédit réel au cours de la transaction entière. Après autorisation de l'utilisateur, le réseau de cartes partenaire génère un justificatif de paiement unique contenant un numéro de carte temporaire, un code de sécurité et une date d'expiration. Le commerçant ne reçoit que ces informations temporaires ; votre numéro de carte réel n'est jamais révélé.
Pour mettre en œuvre ce mécanisme, OpenAI a collaboré avec American Express, Mastercard et Visa pour le développement conjoint, conservant intégralement les points de fidélité, les avantages et la protection contre les litiges des cartes de crédit d'origine. OpenAI a également clairement établi une distinction lors de la publication, en soulignant que ChatGPT Wallet n'est absolument pas un wallet cryptographique, n'utilise ni blockchain ni paiements en stablecoin, et fonctionne entièrement sur l'infrastructure traditionnelle des banques et des réseaux de cartes.
D'après les informations publiques, les motivations commerciales de toutes les parties sont claires. Pour OpenAI, un assistant personnel qui ne fait que donner des conseils ou partager des liens restera toujours à un stade de guidance ; en gardant le cycle de paiement au sein de l'écosystème de conversation, dots pourra passer du rôle de conseiller à celui de promoteur de vente. Pour les organisations de cartes traditionnelles, une fois que les agents intelligents deviennent de nouveaux points d'entrée pour la consommation, personne ne souhaite voir le flux de transactions détourné vers de nouveaux réseaux de paiement. Grâce à ce partenariat, les trois grandes organisations de cartes ont naturellement réintégré ce nouveau canal dans leurs propres réseaux de règlement.
Malgré cela, le premier pas d'OpenAI reste assez prudent.
Le wallet ChatGPT sera initialement disponible en accès limité aux abonnés américains âgés d'au moins 18 ans à ChatGPT Pro, avec prise en charge des cartes bancaires émises aux États-Unis, notamment Amex, Visa, Mastercard et les cartes émises par Chase. D'après les informations publiques, commencer par les utilisateurs payants semble viser une approche prudente en matière de gestion des risques.
Lorsque les géants s'unissent
En comparant ces deux actualités sur le même tableau, vous verrez un croisement intéressant.
Parmi les premiers partenaires clés de Poppy, on retrouve Shopify, Stripe, PayPal, Visa et Mastercard ; du côté de ChatGPT Wallet, les développeurs soutenus sont Amex, Visa et Mastercard. Seuls Visa et Mastercard traversent les deux côtés, figurant à la fois sur la liste de Poppy et comme partenaires de développement du Wallet.
Le détail encore plus intéressant est que le nom même d’OpenAI figure parmi les plus de 100 partenaires de conception de Poppy.
Le Personal Agent Protocol compte plus de 100 partenaires concepteurs parmi ses premiers, y compris OpenAI, Visa et Mastercard | Crédit image : Sierra
Sur le marché de la consommation, Muse de Meta et dots d’OpenAI sont des concurrents directs, tous deux s’efforçant de s’emparer de la première entrée que les utilisateurs ouvrent chaque jour. Mais dès qu’on atteint le niveau de l’accès entreprise, les deux géants s’assoient à la même table de réunion, prêts à partager la même carte d’accès. La raison est facile à comprendre : les compagnies aériennes ou les détaillants ne souhaitent pas maintenir des interfaces incompatibles pour chaque fournisseur de modèles. Sur le segment C, chacun peut déployer ses propres stratégies pour conquérir l’accès ; sur le segment B, il faut construire ensemble un seul et même passe.
Il y a également un signal sur le plan technologique. Les transactions automatiques entre agents, autrefois considérées par beaucoup comme un scénario potentiel pour les stablecoins, voient désormais cette approche mise de côté. Cette vague de mise en œuvre a vu les infrastructures financières et e-commerce privilégier une voie progressive : « protocole d’autorisation standard plus certificat de carte virtuelle unique ». Ils ont temporairement mis de côté les solutions cryptographiques, en optant d’abord pour l’intégration de systèmes de gestion des risques et de règlement éprouvés, afin de faire fonctionner les transactions. Cette voie est la plus simple pour les systèmes commerciaux traditionnels.
Bien sûr, un mystère reste encore dans les informations publiques.
Poppy et le wallet ChatGPT n'ont pas encore indiqué s'ils sont interconnectés. Il reste à vérifier si, à l'avenir, lorsque les utilisateurs dot entreront dans une boutique Shopify ayant activé le protocole Poppy, ils pourront effectuer en toute fluidité la connexion puis effectuer le paiement via le wallet.
Le pouvoir d'autonomie de l'agent, s'arrête devant le panier
En comparant l'authentification à deux facteurs de Poppy et l'obligation de biométrie de ChatGPT Wallet, on peut identifier la ligne directrice commune que l'industrie a tracée : Human in the loop.
Que ce soit pour lire des données, modifier une commande ou effectuer un prélèvement réel, l'autonomie de l'assistant s'arrête précisément avant le panier. Il peut comparer les prix sur l'ensemble du web et remplir les champs de paiement pour vous, mais c'est à vous de basculer l'interrupteur vers la confirmation finale.
Cette conception a préservé la sécurité, mais a laissé quelques questions sans réponse.
Par exemple, les zones floues en matière de responsabilité des transactions. Si l'assistant comprend mal vos intentions lors de la sélection des produits, ou est induit en erreur par des instructions malveillantes cachées lors de la navigation sur un site web, même si vous avez finalement effectué l'authentification faciale, les protections contre les rétrofacturations offertes par les banques ne définissent pas encore clairement si elles couvrent les erreurs commises par l'assistant.
Les conditions d’éligibilité et les seuils pour participer aux transactions du protocole persistent. Shopify a attiré une quantité massive de commerçants, mais combien de temps faudra-t-il pour que d’innombrables sites web de la longue traîne sur Internet affichent la pancarte Poppy ? D’autre part, ChatGPT Wallet est actuellement ouvert uniquement aux utilisateurs abonnés Pro aux États-Unis ; il reste inconnu combien de temps les autres marchés et les utilisateurs ordinaires devront attendre.
De plus, l'obligation d'une authentification biométrique pour chaque transaction apporte effectivement un sentiment de sécurité maximal. Mais imaginez qu'à l'avenir, vous vous habituiez à ce que votre assistant commande votre café et achète vos produits d'usage quotidien chaque jour, et que chaque petite tâche exige que vous sortiez votre téléphone pour scanner votre visage : la promesse d'une gestion entièrement automatisée et sans souci deviendrait, dans des scénarios fréquents, une nouvelle source de friction opérationnelle.
À l’ère actuelle où les assistants ne sont pas encore parfaits et où la confiance sociale n’est pas encore établie, permettre aux utilisateurs de conserver le dernier pouvoir de « cliquer pour confirmer » est peut-être le coût inévitable pour obtenir une entrée dans le secteur, et détermine le rythme de la commercialisation des assistants personnels.
La prochaine fois, lorsque vous demanderez à un assistant IA de modifier votre adresse de livraison et de payer en même temps, il n'aura plus à être rejeté comme un robot. Il présentera son identité conforme, entrera dans la boutique, lira les panneaux, remplira son panier, s'arrêtera à la caisse et vous tendra votre téléphone pour que vous orientiez votre visage vers la caméra.
Ce contrôle facial d'aujourd'hui est la dernière barrière avant que les gens n'accordent leur confiance à un assistant. Mais un jour, lorsque tout le monde sera habitué à laisser des programmes gérer les achats quotidiens, cette simple confirmation ne deviendra-t-elle qu'une étape qu'on clique au hasard ? Comme tous les accords d'autorisation que les sites web et les applications vous demandent de signer, presque personne ne les comprend vraiment, ni ne veut les lire attentivement.