10 月 14 到 15 日两天之内出了三件事IETF 提交了一份把 MCP 和 A2A 写进网络管理的草案ServiceNow 发布了给每个 AI agent 发「加密签名凭证」的 AI PassportGoogle Cloud 的 Agent Gateway 以「首个协议原生网关」的名头铺开。三件事凑在一起讲的是同一件事Agent 协议的竞争正在从「谁定义工具调用」往「谁定义 agent 的身份和边界」上移。MCP 赢下执行层这件事已经没有悬念。它由 Anthropic 在 2024 年 11 月发布2025 年 12 月捐给 Linux Foundation 旗下的 Agentic AI Foundation。现在月度 SDK 下载量在 9700 万到 1.1 亿次活跃 server 超过 1 万个OpenAI、Google、Microsoft 全都接了。按 AgentRank 的统计GitHub 上 25,632 个 MCP 相关仓库里96.8% 是 server 或周边工具。单个 agent 怎么接工具、读数据、调 API这件事基本收敛完了。三层协议各占一格剩下的两个问题MCP 都不碰。A2A 补的是 agent 与 agent 之间的通信Google 在 2025 年 4 月发布6 月捐给 Linux Foundation现在有 150 多家组织支持靠 Agent Card 做发现、用 8 个状态管理任务生命周期。但它的生态比 MCP 小一个量级AgentRank 索引里 A2A 相关仓库只有 733 个。IBM 更早的 ACP 协议并进 A2A 之后已经弃用。Poppy 是 10 月才进场的新玩家冲得最猛。Sierra 主导、Meta 联合开发10 月 6 日宣布10 月 9 日就放出 Draft 0.1一次拉来 35 家设计伙伴里面有 OpenAI还有 BBVA、Bank of America、Visa、Mastercard 这一排金融和支付巨头。它要解决的是前两个协议都没碰的问题用户的个人 agent 怎么代表用户本人去和商家打交道既不能靠 agent 冒充用户点网页也不能让企业一刀切封禁。Sierra 官方博客写得很清楚Poppy 把 OAuth、JWT、OpenAPI、MCP 都作为内置标准登录分 Direct、Device、Mediated 三种模式。Poppy 自己把 MCP 列为构建块等于承认它叠在 MCP 上面不打算替代它。上图MCP、A2A、Poppy 三个正交协议层分别解决工具接入、agent 协调与用户委托授权。治理层没人定稿厂商自己先动手执行层边界清晰所以 MCP 能赢。但 agent 一旦长驻企业、要动真实系统的数据下一个问题立刻冒出来这个 agent 是谁能干什么出事了谁负责这一层既没有统一标准厂商就开始各干各的。ServiceNow 的答案是给 agent 发护照。10 月 15 日发布的 AI Passport给每个 agent 签一枚加密签名凭证运行时每一步都校验授权范围越界的 agent 可以被限制、重定向或者直接 kill switch 终止。凭证依据的是 CMDB 资产关系、GRC 政策、workflow 审批流这些企业上下文。执行底层是 NVIDIA 的 Open Agent Safety Platform。有个细节值得玩味ServiceNow 说这套凭证基于开放规范任何治理产品或身份提供商都能签发和验证但通篇没点名它到底基于哪份身份标准。Google 的答案是把治理做成网关。Agent Gateway 是 Gemini Enterprise Agent Platform 的主策略执行点基于 Envoy 和 Kubernetes原生理解 MCP 和 A2A能在协议层下策略不止于看网络层。它分两条路径ingress 管 Cursor、Claude Code 这类客户端到 agentegress 管 agent 到外部工具和 MCP server。身份用 SPIFFE ID配合 IAP 校验 IAM内容安全交给 Model Armor拦 prompt injection 和数据外泄。官方文档自己列了风险默认配置里 Model Armor 的授权扩展可能 failOpen也就是失败时流量未经筛查直接放行。两家方向不一样ServiceNow 押身份凭证Google 押流量网关。两家都号称开放却还没统一到同一份 agent 身份标准上因为那份标准压根没定稿。上图Google Cloud Gemini Enterprise Agent Platform 官方文档架构图2026-10-17来源docs.cloud.google.com中国选择自建信任层中国厂商对 MCP 的态度出奇一致执行层全面接入。阿里云百炼接了 50 多款 MCP 服务通义、钉钉、支付宝都有 server腾讯云知识引擎接入 MCP还参与状态标准讨论百度千帆建了「MCP 广场」阶跃星辰走 MCP 加 A2A 的标准化路线拿到近百家企业合作。但到了「身份与信任」这一层中国选择自建。信通院联合三大运营商、香港中文大学深圳、中兴、腾讯、华为在 2026 年 4 月发起「智能体可信握手协议 ATH」定位信任层覆盖身份互验、权限管控、行为审计官方说法是与 MCP/A2A 互补。到 7 月的智能体互联网论坛这个体系已经长出 48 家成员、24 个可信评估登记、7 项标准首批 13 家企业通过可信互联握手能力评估。逻辑不复杂MCP/A2A 的权限颗粒度偏粗中国要在这一层补一套可追溯、可审计的握手机制。字节的 SAEP 是这条线上最尖锐的一次冲突。豆包手机助手在手机端自建「屏幕自动化执行协议」让 agent 直接替用户点屏幕操作 App结果 155 款主流 App 集体拒绝腾讯、阿里、美团、快手都在抵制名单里核心是保护微信这类超级 App 的流量入口。澎湃给这件事起的标题是《AI 上演权力游戏MCP 与 A2A 筑起「小院高墙」》。同一个 MCP接进云端工具没问题一旦伸进手机里的 App 操作就撞上了流量主权的墙。上图四层协议的厂商阵营分布。接下来盯什么IETF 的介入给这场战争加了个变量。10 月 14 日提交的草案标题直译是《当 NETCONF 不够用时》7 位作者都是中国研究者系统分析了 NETCONF 在 AI 语义翻译、长时编排、多 agent 共识上的缺口提出 MCP 和 A2A 是互补方案NETCONF 缺函数注册MCP 的 tools/list 补缺任务生命周期A2A 的状态机补。这份草案目前是个人投稿还没被任何工作组正式采纳。把 IETF、信通院 ATH、还有华为系作者的活跃放在一起看一条线就出来了MCP 是 Anthropic 起的头A2A 是 Google 起的头Poppy 是 Sierra 和 Meta 起的头而中国的力量正在把 MCP/A2A 往网络管理和信任层推进。标准主导权正在从「谁定义工具调用」变成「谁定义 agent 的边界与身份」。我判断执行层已经收敛未来 12 到 18 个月协议战场会集中在「agent 身份与授权」这一层而且大概率重演 OAuth 和 OpenID 的历史先有一堆 de facto 的私有实现满天飞标准再追认。ServiceNow 的签名凭证、Google 的 SPIFFE 网关、Poppy 的 OAuth 委托、信通院的 ATH四套东西现在互不相认这是机会也是未来最大的摩擦点。我预判接下来最值得盯的是三件事Poppy 什么时候从设计伙伴走向 OpenAI 的产品化OpenAI 至今没给 ChatGPT 调用商家服务的时间表信通院 ATH 的 48 家成员里有多少真正跑通了跨主体握手不止于停在评估登记ServiceNow 和 Google 的治理栈会不会各自长出互不兼容的身份实现把「协议越多、互操作越少」这个反讽变成现实。参考来源Sierra — Introducing Poppy官方博客Google Cloud — Agent Gateway overview官方文档IETF Datatracker — draft-zeng-opsawg-applicability-mcp-a2a-01CIO.com — ServiceNow AI Passport信通院 — 智能体可信握手协议 ATH开源仓库证券时报 — 信通院发起智能体可信握手协议 ATH澎湃新闻 — AI 上演权力游戏MCP 与 A2A 筑起「小院高墙」虎嗅 — 155 款 App 拒绝豆包 SAEP每日更新。