# 多智能体协作的协议层:四大协议收敛与组织架构实测 多智能体系统在2026年最大的变化不在框架,而在协议层。从Google的A2A、IBM的ACP到去中心化的ANP,加上Anthropic的MCP,四大智能体互操作协议在一年内完成了从混战到收敛的全过程。最戏剧性的一幕发生在2025年8月——IBM的ACP整体并入A2A、交由Linux Foundation托管,从此A2A成为智能体间通信事实标准,而MCP锁定智能体到工具的垂直通道,两者构成正交的双协议栈。本文从协议内核、Agent Card发现机制、安全威胁面、组织架构选型四个维度,实测这套收敛后的多智能体协作底座,并给出不同场景的选型红线。 ## 一、四大协议对比定盘 | 协议 | 出身与时间 | 通信轴 | 传输与序列化 | 当前状态 | GitHub体量 | |------|-----------|--------|-------------|---------|-----------| | **MCP** | Anthropic 2024.11 | Agent↔Tool/Data | JSON-RPC over stdio/SSE | 事实标准,锁定垂直通道 | 极活跃 | | **A2A** | Google 2025.04 | Agent↔Agent | JSON-RPC 2.0 over HTTPS/SSE | 主流标准,Linux Foundation托管 | 24.4k★/2.5k fork | | **ACP** | IBM 2025.03 | Agent↔Agent | REST/JSON,轻量调用 | **2025.08并入A2A**,提供迁移指南 | 维护态 | | **ANP** | 开源社区 | Agent↔Agent(大规模) | 去中心化DID + DID文档 | 小众,押注动态联邦 | 早期 | 这张表的关键信号是**收敛**:横向(Agent到Agent)已经从三足鼎立塌缩到A2A一家独大,ACP退场、ANP守 niche;纵向(Agent到工具)MCP一统天下。结果是任何2026年的多智能体架构,核心决策不再是"用哪个协议",而是"MCP+A2A双栈里怎么编排"。 ## 二、A2A内核:JSON-RPC与任务生命周期 A2A之所以能吞掉ACP,核心在于它把"智能体当Web服务"这件事做对了。它基于JSON-RPC 2.0,走HTTP(S),原生支持SSE流式响应、推送通知(push notifications)和**有状态的任务生命周期**(submitted→working→input-required→completed/failed/canceled)。这意味着一个长任务可以异步推进、可中断、可恢复,而不是传统REST那种"一问一答就断"。 ```python # A2A 客户端发起任务(JSON-RPC tasks/send) import httpx, uuid, json task = { "jsonrpc": "2.0", "id": str(uuid.uuid4()), "method": "tasks/send", "params": { "id": str(uuid.uuid4()), "sessionId": "sess-7f3a", "message": {"role": "user", "parts": [{"type": "text", "text": "汇总三家竞品的定价"}]}, "acceptedOutputModes": ["text"] } } r = httpx.post("https://research-agent/.well-known/agent.json" # 端点取自Agent Card , json=task).json() # r["result"]["status"] ∈ {working, input-required, completed, failed} ``` **优点**:有状态任务对"研究型、迭代型"多智能体天然友好;流式SSE让上游智能体能边算边看;JSON-RPC对已有RPC基建的团队迁移成本极低。**缺点**:每个智能体都要暴露成HTTP服务,内网穿透、鉴权、速率限制都得自己做,运维负担比函数调用重一个量级;有状态任务的状态机一旦在中途崩溃,恢复逻辑要自己写。**变现评估**:这是目前最适合做"训练营旗舰课"的协议——有明确的工程图景、有真实迁移痛点,A2A网关/网关中间件、Agent Card签发服务都是可包装的交付物,客单价能拉高。 ## 三、Agent Card:发现与信任的JSON契约 A2A最被低估的设计是**Agent Card**——一个挂在固定路径`/.well-known/agent.json`的JSON文档,充当智能体的"数字名片",声明自己的能力、端点、鉴权方式、输入输出模式。它是整个去中心化协作的入口:没有它,智能体之间就只能硬编码地址;有了它,才能做到"运行时发现、动态组队"。发现策略按环境分三档:内网用固定URL直拉,企业内用注册表(registry)聚合,开放互联网则押注DID去中心化身份。 ```json { "name": "财报分析智能体", "description": "解析10-K、提取关键财务指标", "url": "https://fin-agent.corp/", "version": "1.4.2", "capabilities": {"streaming": true, "pushNotifications": true}, "defaultInputModes": ["text", "file"], "defaultOutputModes": ["text", "data"], "skills": [{"id": "parse-10k", "name": "解析年报"}], "authentication": {"schemes": ["OAuth2"], "credentials": "..."}, "provider": {"organization": "财务中台", "url": "..."} } ``` **优点**:把"能力声明"从代码里解耦,调度方可以像抓RSS一样批量发现并选型;`skills`字段让上层编排器做能力匹配而非硬编码路由。**缺点**——也是2026年最尖锐的安全问题:Agent Card是**自声明身份(self-declared identity)**,Tyk和Palo Alto的安全分析都指出,最常见的A2A攻击恰恰是伪造一张Card冒充可信智能体,诱导目标把敏感上下文吐给攻击者。**变现评估**:Agent Card的签发、校验、信任链(PKI/DID)本身就是一个细分赛道,合规要求强的金融、医疗客户愿意为"可信Card注册表"买单。 ## 四、ACP被吞:为什么统一到A2A ACP(IBM BeeAI出品,2025年3月)走的是另一条路——REST/JSON、轻量、brokered编排,更偏"企业中间件"的稳重感。但它在8月整体并入A2A。这背后的逻辑不是技术谁强,而是**网络效应**:Google拉来50+合作伙伴(Salesforce、SAP、ServiceNow、Atlassian等),把A2A做成了跨厂商事实标准;ACP在跨生态互操作上没有足够的引力,留一个并存的协议只会让"哪个Agent讲哪种话"的碎片化问题更糟。 ```yaml # ACP → A2A 迁移(IBM官方迁移指南的核心映射) # ACP: POST /agents/{id}/runs (无状态,run即任务) # A2A: POST JSON-RPC tasks/send (有状态任务生命周期) # ACP: /agents/{id} (能力发现) # A2A: /.well-known/agent.json (Agent Card发现) ``` **优点(收敛本身)**:统一意味着只需要维护一套客户端SDK(Python/JS/Java都有官方实现)、一套发现机制、一套状态机,跨厂商联调成本骤降。**缺点**:IBM那套brokered中间件风格的企业用户被迫改造,有状态任务模型对"无状态优先"的云原生部署不友好,迁移期会出现两种心智模型并存。**变现评估**:ACP→A2A迁移咨询、企业存量brokered系统的改造,是时间窗口型机会,过这个村就没这个店。 ## 五、ANP的差异化:去中心化与动态联邦 在大规模、开放、跨组织的场景下,A2A的"固定URL+注册表"发现模式会撞墙。ANP(Agent Network Protocol)押注的是**DID(去中心化标识符)+ DID文档**,让智能体像Web3身份一样自我主权——不依赖任何中心注册表就能被发现和验证,适合"成千上万个动态智能体临时组队"的场景。它和A2A不是竞争,而是分层:A2A管"两个智能体怎么对话",ANP想管"在大海里怎么找到对的智能体并确认它是真的"。 **优点**:去中心化发现天然抗审查、抗单点故障;DID的密码学身份比Agent Card的OAuth2更难冒充。**缺点**:生态极早期,工具链缺失,对绝大多数企业场景是过度设计——内部联邦用注册表就够了,DID的密钥管理反而是新的运维债。**变现评估**:短期不建议押注,除非你的产品定位本身就是"开放智能体市场"或Web3+AI交叉;否则等ANP成熟再迁比现在硬上更划算。 ## 六、MCP与A2A:正交双栈,别选错层 最常见的认知错误是把MCP和A2A当成竞品。arxiv综述(2505.02279)把它们钉死在不同的协调层:**MCP是智能体连接工具与数据的垂直通道,解决"我拿什么干"**;**A2A是智能体之间的水平通道,解决"谁来干、怎么交接"**。一个研究型多智能体系统里,每个智能体内部用MCP挂自己的工具(搜索、SQL、代码执行),智能体之间用A2A互相委派——这是2026年的标准拓扑。 ```mermaid flowchart TB User[用户] --> Orch[编排智能体] Orch ==A2A==> R[研究智能体] Orch ==A2A==> W[写作智能体] Orch ==A2A==> C[校对智能体] R -.MCP.-> S[搜索工具] R -.MCP.-> DB[向量库] W -.MCP.-> ED[编辑器API] C -.MCP.-> L[查重工具] R ==A2A==> W W ==A2A==> C style Orch fill:#fde68a style R fill:#bfdbfe style W fill:#bbf7d0 style C fill:#fbcfe8 ``` **优点**:职责切清楚后,工具变更只动MCP,智能体拓扑变更只动A2A,互不污染;每个智能体可以独立换模型、换工具。**缺点**:双栈意味着双倍的鉴权、双倍的鉴权密钥管理、双倍的链路观测——一个请求要同时穿过MCP工具调用和A2A任务委派,distributed tracing必须能跨协议串联。**变现评估**:"MCP+A2A双栈可观测性平台"是稀缺品类,现有APM厂商还没跟上,先发者能占住企业客户的监控预算。 ## 七、协议层安全威胁:身份冒充与上下文投毒 协议收敛的代价是把攻击面也集中了。arxiv论文(2602.11327《Security Threat Modeling for Emerging AI-Agent Protocols》)系统梳理了五大结构性威胁,而现实数据更触目——prompt injection攻击在2026年同比激增约340%(多份安全报告口径一致)。其中**针对A2A/MCP的最危险两类**:一是上面提到的Agent Card身份冒充(自声明身份无强校验);二是**上下文投毒(context poisoning)**——恶意智能体在A2A消息里注入诱导指令,污染下游智能体的决策,且因为是跨进程、跨信任域传递,传统的单Agent护栏拦不住。CSA的AIUC-1标准在2026 Q2(4月15日生效)专门新增了MCP安全与Agent身份控制的条款。 **应对红线**:① 对Agent Card做带外验证,不轻信自声明字段,至少核对签发方PKI或DID链;② 跨智能体的A2A消息要做input sanitization与权限降级,下游智能体的工具权限不应继承上游的信任;③ MCP工具的副作用操作(写库、发邮件、付款)强制human-in-the-loop审批闸门,别让跨协议链路一路绿灯。**变现评估**:协议层安全是2026年最确定增长的方向——攻击激增340%就是市场需求,Agent防火墙、Card信任链审计、跨协议prompt injection检测都是可落地的产品形态。 ## 八、组织架构选型:四种模式的适用边界 协议层定了"怎么通信",组织架构定"谁听谁的"。2026年LangGraph、CrewAI、AutoGen等框架收敛到四种主流模式,各自有明确的适用边界,选错模式比选错框架更致命: | 模式 | 拓扑 | 适用场景 | 失败信号 | |------|------|---------|---------| | **Supervisor(主管)** | 中心调度,工人汇报 | 任务可清晰分解、强一致 | 主管成瓶颈,单点延迟 | | **Hierarchical(层级)** | 多级主管嵌套 | 大规模、可分层委派 | 层级越深越烧token | | **Swarm(群智)** | 工人互相交接,无中心 | 开放探索、创造性任务 | 交接路径发散,难收敛 | | **Pipeline/Router** | 串行或按规则分流 | 流程固定的流水线 | 遇动态任务僵化 | ```python # Supervisor 模式伪代码(LangGraph风格) def supervisor(state): # 看当前状态,决定下一步派给谁 return {"next": "researcher"} # 或 writer / critic / END graph = StateGraph(State) graph.add_node("supervisor", supervisor) graph.add_node("researcher", researcher_agent) # 内部用MCP挂工具 graph.add_node("writer", writer_agent) # 之间用A2A委派 graph.add_conditional_edges("supervisor", lambda s: s["next"]) # 关键:supervisor是唯一路由决策点,工人不互相直连 ``` **选型红线**:流程明确、可分解的任务用Supervisor(最稳);规模大到单主管扛不住才上Hierarchical,但要做好每层的预算隔离避免级联烧钱;创造性、开放式协作用Swarm但要设收敛判据;高度重复的流水线用Pipeline。**变现评估**:组织架构咨询是高杠杆交付——很多团队的痛点不是缺智能体,而是拓扑选错导致烧钱或跑飞,一份带基准数据的"选型决策树"就能切入企业客户。 ## 九、落地推荐:按场景的三档选型 - **企业内部、流程明确(客服、审批、报表)**:MCP(工具)+ A2A(委派)+ Supervisor拓扑。最稳、可审计、单点收敛。别碰ANP,别上Swarm。 - **开放探索、创造性(深度研究、产品设计)**:MCP + A2A + Swarm或Hierarchical。重点投入交接收敛判据和跨协议可观测性,这是这类系统跑飞的高发区。 - **跨组织、开放生态(智能体市场、Web3融合)**:押注ANP做发现 + A2A做通信,但要接受工具链不成熟的早期成本,且必须先解决Card信任链。 **一句话收敛**:2026年的多智能体,正交双栈(MCP垂直、A2A水平)已是定盘,组织架构选型才是真正的工程胜负手,而协议层安全的340%攻击激增意味着——谁能把"可信Card + 跨协议护栏"做扎实,谁就拿到了下一个变现周期的入场券。 ## 参考来源 1. [Agent2Agent (A2A) 官方仓库与Agent Card发现规范](https://github.com/a2aproject/A2A/blob/main/docs/topics/agent-discovery.md) — Google主导,JSON-RPC任务生命周期与Agent Card JSON结构 2. [Agent Communication Protocol (ACP) 官方站](https://agentcommunicationprotocol.dev/introduction/welcome) — IBM声明ACP于2025年8月并入A2A,Linux Foundation托管,含迁移指南 3. [A Survey of Agent Interoperability Protocols (arXiv 2505.02279)](https://arxiv.org/abs/2505.02279) — MCP/A2A/ACP/ANP分属不同协调层的学术综述 4. [Security Threat Modeling for Emerging AI-Agent Protocols (arXiv 2602.11327)](https://arxiv.org/abs/2602.11327) — 协议层五大结构性威胁建模 5. [A2A Security & Risks: The Developer's Complete Guide (tyk.io)](https://tyk.io/learning-center/a2a-security-the-developers-complete-guide/) — 自声明身份冒充与上下文投毒的实战分析 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。