多智能体协作的协议层:四大协议收敛与组织架构实测

多智能体系统在2026年最大的变化不在框架,而在协议层。从Google的A2A、IBM的ACP到去中心化的ANP,加上Anthropic的MCP,四大智能体互操作协议在一年内完成了从混战到收敛的全过程。最戏剧性的一幕发生在2025年8月——IBM的ACP整体并入A2A、交由Linux Foundation托管,从此A2A成为智能体间通信事实标准,而MCP锁定智能体到工具的垂直通道,两者构成正交的双协议栈。本文从协议内核、Agent Card发现机制、安全威胁面、组织架构选型四个维度,实测这套收敛后的多智能体协作底座,并给出不同场景的选型红线。

一、四大协议对比定盘

这张表的关键信号是收敛:横向(Agent到Agent)已经从三足鼎立塌缩到A2A一家独大,ACP退场、ANP守 niche;纵向(Agent到工具)MCP一统天下。结果是任何2026年的多智能体架构,核心决策不再是"用哪个协议",而是"MCP+A2A双栈里怎么编排"。

二、A2A内核:JSON-RPC与任务生命周期

A2A之所以能吞掉ACP,核心在于它把"智能体当Web服务"这件事做对了。它基于JSON-RPC 2.0,走HTTP(S),原生支持SSE流式响应、推送通知(push notifications)和有状态的任务生命周期(submitted→working→input-required→completed/failed/canceled)。这意味着一个长任务可以异步推进、可中断、可恢复,而不是传统REST那种"一问一答就断"。

# A2A 客户端发起任务(JSON-RPC tasks/send)
import httpx, uuid, json

task = {
    "jsonrpc": "2.0", "id": str(uuid.uuid4()),
    "method": "tasks/send",
    "params": {
        "id": str(uuid.uuid4()),
        "sessionId": "sess-7f3a",
        "message": {"role": "user",
                    "parts": [{"type": "text", "text": "汇总三家竞品的定价"}]},
        "acceptedOutputModes": ["text"]
    }
}
r = httpx.post("https://research-agent/.well-known/agent.json"  # 端点取自Agent Card
               , json=task).json()
# r["result"]["status"] ∈ {working, input-required, completed, failed}

优点:有状态任务对"研究型、迭代型"多智能体天然友好;流式SSE让上游智能体能边算边看;JSON-RPC对已有RPC基建的团队迁移成本极低。缺点:每个智能体都要暴露成HTTP服务,内网穿透、鉴权、速率限制都得自己做,运维负担比函数调用重一个量级;有状态任务的状态机一旦在中途崩溃,恢复逻辑要自己写。变现评估:这是目前最适合做"训练营旗舰课"的协议——有明确的工程图景、有真实迁移痛点,A2A网关/网关中间件、Agent Card签发服务都是可包装的交付物,客单价能拉高。

三、Agent Card:发现与信任的JSON契约

A2A最被低估的设计是Agent Card——一个挂在固定路径/.well-known/agent.json的JSON文档,充当智能体的"数字名片",声明自己的能力、端点、鉴权方式、输入输出模式。它是整个去中心化协作的入口:没有它,智能体之间就只能硬编码地址;有了它,才能做到"运行时发现、动态组队"。发现策略按环境分三档:内网用固定URL直拉,企业内用注册表(registry)聚合,开放互联网则押注DID去中心化身份。

{
  "name": "财报分析智能体",
  "description": "解析10-K、提取关键财务指标",
  "url": "https://fin-agent.corp/",
  "version": "1.4.2",
  "capabilities": {"streaming": true, "pushNotifications": true},
  "defaultInputModes": ["text", "file"],
  "defaultOutputModes": ["text", "data"],
  "skills": [{"id": "parse-10k", "name": "解析年报"}],
  "authentication": {"schemes": ["OAuth2"], "credentials": "..."},
  "provider": {"organization": "财务中台", "url": "..."}
}

优点:把"能力声明"从代码里解耦,调度方可以像抓RSS一样批量发现并选型;skills字段让上层编排器做能力匹配而非硬编码路由。缺点——也是2026年最尖锐的安全问题:Agent Card是自声明身份(self-declared identity),Tyk和Palo Alto的安全分析都指出,最常见的A2A攻击恰恰是伪造一张Card冒充可信智能体,诱导目标把敏感上下文吐给攻击者。变现评估:Agent Card的签发、校验、信任链(PKI/DID)本身就是一个细分赛道,合规要求强的金融、医疗客户愿意为"可信Card注册表"买单。

四、ACP被吞:为什么统一到A2A

ACP(IBM BeeAI出品,2025年3月)走的是另一条路——REST/JSON、轻量、brokered编排,更偏"企业中间件"的稳重感。但它在8月整体并入A2A。这背后的逻辑不是技术谁强,而是网络效应:Google拉来50+合作伙伴(Salesforce、SAP、ServiceNow、Atlassian等),把A2A做成了跨厂商事实标准;ACP在跨生态互操作上没有足够的引力,留一个并存的协议只会让"哪个Agent讲哪种话"的碎片化问题更糟。

# ACP → A2A 迁移(IBM官方迁移指南的核心映射)
# ACP:  POST /agents/{id}/runs        (无状态,run即任务)
# A2A:  POST  JSON-RPC tasks/send      (有状态任务生命周期)
# ACP:  /agents/{id}                   (能力发现)
# A2A:  /.well-known/agent.json        (Agent Card发现)

优点(收敛本身):统一意味着只需要维护一套客户端SDK(Python/JS/Java都有官方实现)、一套发现机制、一套状态机,跨厂商联调成本骤降。缺点:IBM那套brokered中间件风格的企业用户被迫改造,有状态任务模型对"无状态优先"的云原生部署不友好,迁移期会出现两种心智模型并存。变现评估:ACP→A2A迁移咨询、企业存量brokered系统的改造,是时间窗口型机会,过这个村就没这个店。

五、ANP的差异化:去中心化与动态联邦

在大规模、开放、跨组织的场景下,A2A的"固定URL+注册表"发现模式会撞墙。ANP(Agent Network Protocol)押注的是DID(去中心化标识符)+ DID文档,让智能体像Web3身份一样自我主权——不依赖任何中心注册表就能被发现和验证,适合"成千上万个动态智能体临时组队"的场景。它和A2A不是竞争,而是分层:A2A管"两个智能体怎么对话",ANP想管"在大海里怎么找到对的智能体并确认它是真的"。

优点:去中心化发现天然抗审查、抗单点故障;DID的密码学身份比Agent Card的OAuth2更难冒充。缺点:生态极早期,工具链缺失,对绝大多数企业场景是过度设计——内部联邦用注册表就够了,DID的密钥管理反而是新的运维债。变现评估:短期不建议押注,除非你的产品定位本身就是"开放智能体市场"或Web3+AI交叉;否则等ANP成熟再迁比现在硬上更划算。

六、MCP与A2A:正交双栈,别选错层

最常见的认知错误是把MCP和A2A当成竞品。arxiv综述(2505.02279)把它们钉死在不同的协调层:MCP是智能体连接工具与数据的垂直通道,解决"我拿什么干";A2A是智能体之间的水平通道,解决"谁来干、怎么交接"。一个研究型多智能体系统里,每个智能体内部用MCP挂自己的工具(搜索、SQL、代码执行),智能体之间用A2A互相委派——这是2026年的标准拓扑。

flowchart TB
    User[用户] --> Orch[编排智能体]
    Orch ==A2A==> R[研究智能体]
    Orch ==A2A==> W[写作智能体]
    Orch ==A2A==> C[校对智能体]
    R -.MCP.-> S[搜索工具]
    R -.MCP.-> DB[向量库]
    W -.MCP.-> ED[编辑器API]
    C -.MCP.-> L[查重工具]
    R ==A2A==> W
    W ==A2A==> C
    style Orch fill:#fde68a
    style R fill:#bfdbfe
    style W fill:#bbf7d0
    style C fill:#fbcfe8

优点:职责切清楚后,工具变更只动MCP,智能体拓扑变更只动A2A,互不污染;每个智能体可以独立换模型、换工具。缺点:双栈意味着双倍的鉴权、双倍的鉴权密钥管理、双倍的链路观测——一个请求要同时穿过MCP工具调用和A2A任务委派,distributed tracing必须能跨协议串联。变现评估:"MCP+A2A双栈可观测性平台"是稀缺品类,现有APM厂商还没跟上,先发者能占住企业客户的监控预算。

七、协议层安全威胁:身份冒充与上下文投毒

协议收敛的代价是把攻击面也集中了。arxiv论文(2602.11327《Security Threat Modeling for Emerging AI-Agent Protocols》)系统梳理了五大结构性威胁,而现实数据更触目——prompt injection攻击在2026年同比激增约340%(多份安全报告口径一致)。其中针对A2A/MCP的最危险两类:一是上面提到的Agent Card身份冒充(自声明身份无强校验);二是上下文投毒(context poisoning)——恶意智能体在A2A消息里注入诱导指令,污染下游智能体的决策,且因为是跨进程、跨信任域传递,传统的单Agent护栏拦不住。CSA的AIUC-1标准在2026 Q2(4月15日生效)专门新增了MCP安全与Agent身份控制的条款。

应对红线:① 对Agent Card做带外验证,不轻信自声明字段,至少核对签发方PKI或DID链;② 跨智能体的A2A消息要做input sanitization与权限降级,下游智能体的工具权限不应继承上游的信任;③ MCP工具的副作用操作(写库、发邮件、付款)强制human-in-the-loop审批闸门,别让跨协议链路一路绿灯。变现评估:协议层安全是2026年最确定增长的方向——攻击激增340%就是市场需求,Agent防火墙、Card信任链审计、跨协议prompt injection检测都是可落地的产品形态。

八、组织架构选型:四种模式的适用边界

协议层定了"怎么通信",组织架构定"谁听谁的"。2026年LangGraph、CrewAI、AutoGen等框架收敛到四种主流模式,各自有明确的适用边界,选错模式比选错框架更致命:

# Supervisor 模式伪代码(LangGraph风格)
def supervisor(state):
    # 看当前状态,决定下一步派给谁
    return {"next": "researcher"}      # 或 writer / critic / END

graph = StateGraph(State)
graph.add_node("supervisor", supervisor)
graph.add_node("researcher", researcher_agent)  # 内部用MCP挂工具
graph.add_node("writer",     writer_agent)      # 之间用A2A委派
graph.add_conditional_edges("supervisor", lambda s: s["next"])
# 关键:supervisor是唯一路由决策点,工人不互相直连

选型红线:流程明确、可分解的任务用Supervisor(最稳);规模大到单主管扛不住才上Hierarchical,但要做好每层的预算隔离避免级联烧钱;创造性、开放式协作用Swarm但要设收敛判据;高度重复的流水线用Pipeline。变现评估:组织架构咨询是高杠杆交付——很多团队的痛点不是缺智能体,而是拓扑选错导致烧钱或跑飞,一份带基准数据的"选型决策树"就能切入企业客户。

九、落地推荐:按场景的三档选型

• 企业内部、流程明确(客服、审批、报表):MCP(工具)+ A2A(委派)+ Supervisor拓扑。最稳、可审计、单点收敛。别碰ANP,别上Swarm。
• 开放探索、创造性(深度研究、产品设计):MCP + A2A + Swarm或Hierarchical。重点投入交接收敛判据和跨协议可观测性,这是这类系统跑飞的高发区。
• 跨组织、开放生态(智能体市场、Web3融合):押注ANP做发现 + A2A做通信,但要接受工具链不成熟的早期成本,且必须先解决Card信任链。

一句话收敛:2026年的多智能体,正交双栈(MCP垂直、A2A水平)已是定盘,组织架构选型才是真正的工程胜负手,而协议层安全的340%攻击激增意味着——谁能把"可信Card + 跨协议护栏"做扎实,谁就拿到了下一个变现周期的入场券。

参考来源

1. Agent2Agent (A2A) 官方仓库与Agent Card发现规范 — Google主导,JSON-RPC任务生命周期与Agent Card JSON结构
2. Agent Communication Protocol (ACP) 官方站 — IBM声明ACP于2025年8月并入A2A,Linux Foundation托管,含迁移指南
3. A Survey of Agent Interoperability Protocols (arXiv 2505.02279) — MCP/A2A/ACP/ANP分属不同协调层的学术综述
4. Security Threat Modeling for Emerging AI-Agent Protocols (arXiv 2602.11327) — 协议层五大结构性威胁建模
5. A2A Security & Risks: The Developer's Complete Guide (tyk.io) — 自声明身份冒充与上下文投毒的实战分析

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。