Orizzonti futuri

Le guerre dei protocolli per agenti: MCP, A2A e le infrastrutture del web agentico

MCP è diventato stateless nel luglio 2026, ChatGPT Atlas ha chiuso ad agosto e le infrastrutture per i pagamenti degli agenti vengono ancora costruite un Paese alla volta. La battaglia sui protocolli alla base del web agentico, con date e d

AI.info Team · 2026-09-04

Perché sono le infrastrutture a decidere i vincitori

Ogni battaglia tra piattaforme informatiche si è prima o poi risolta sotto il livello delle applicazioni. L’email ha prevalso perché SMTP era abbastanza aperto da permettere a chiunque di gestire un server di posta. Il web ha prevalso perché HTTP e HTML consentivano a qualsiasi editore di raggiungere qualsiasi browser senza chiedere il permesso. RSS ha perso gran parte del suo terreno quando le piattaforme hanno scoperto che costava meno trattenere i lettori all’interno di un feed chiuso che lasciarli iscrivere a feed esterni. Lo schema si ripete: chi controlla il formato con cui i sistemi comunicano controlla quanta parte del valore viene catturata a valle, indipendentemente da chi abbia il modello più intelligente in quel trimestre.

La stessa battaglia attraversa ora il mondo degli agenti di IA e, entro la metà del 2026, ha prodotto uno stack riconoscibile: un protocollo per collegare un modello a strumenti e dati (Model Context Protocol di Anthropic), un protocollo che consente agli agenti di comunicare tra loro (Agent2Agent di Google), una proliferazione di protocolli che consentono agli agenti di effettuare pagamenti (Visa, Mastercard, Stripe/OpenAI, Google), i primi lavori per dimostrare quale agente agisce per conto di chi (Okta, Auth0) e un livello browser in corsa per diventare il client all’interno del quale tutto questo funziona.

Nulla di tutto ciò è definito. Quasi tutto viene sviluppato sotto forma di specifiche aperte donate a fondazioni neutrali, anziché mantenuto come strumento di lock-in dei fornitori: una scelta strategica che ciascuna azienda compie per ragioni che vale la pena esaminare, non perché qualcuno sia diventato improvvisamente altruista.

MCP: il protocollo che Anthropic ha ceduto

Il 25 novembre 2024 Anthropic ha reso open source il Model Context Protocol, presentandolo come un modo per collegare gli assistenti di IA ai «sistemi in cui risiedono i dati» — archivi di contenuti, strumenti aziendali, ambienti di sviluppo — senza che ogni applicazione debba creare un’integrazione su misura per ogni fonte di dati. L’architettura è abbastanza semplice da spiegare in un paragrafo: un host MCP, per esempio Claude Desktop o un IDE, esegue un client MCP, che comunica con uno o più server MCP tramite stdio o HTTP in streaming.

Ogni server espone tre elementi fondamentali: strumenti, cioè funzioni eseguibili con argomenti tipizzati secondo JSON Schema; risorse, cioè dati di sola lettura identificati da un URI, come il contenuto di file o i risultati di query; e prompt, cioè modelli di istruzioni riutilizzabili. Fin dal primo giorno Anthropic ha fornito server di riferimento per Google Drive, Slack, GitHub, Git, Postgres e Puppeteer.

Per capire la competizione tra piattaforme, conta soprattutto ciò che è successo dopo: chi ha creato MCP ha perso il controllo su chi lo adottava. Nel marzo 2025 OpenAI ha aggiunto il supporto per MCP al proprio Agents SDK e ha promesso di introdurlo nella Responses API e nell’app desktop di ChatGPT. Sam Altman ha scritto che «la gente ama MCP e siamo entusiasti di aggiungerne il supporto a tutti i nostri prodotti»: un concorrente diretto che sostiene il protocollo di un rivale anziché proporne uno proprio.

Nell’aprile 2025 Demis Hassabis, amministratore delegato di Google DeepMind, ha confermato che Gemini e il suo SDK avrebbero aggiunto il supporto per MCP, definendolo «in rapida evoluzione verso uno standard aperto per l’era degli agenti di IA». Nel corso del 2025 Microsoft si è mossa su più fronti: il supporto per MCP in Copilot Studio è arrivato nel marzo 2025 ed è diventato disponibile per tutti nel maggio 2025; a Ignite, a metà novembre 2025, Microsoft ha annunciato il supporto nativo per MCP in anteprima pubblica all’interno di Windows, con connettori per agenti integrati per File Explorer e Windows Settings e un registro sul dispositivo per gestire quali server MCP una macchina considera attendibili.

Al 9 dicembre 2025, MCP aveva superato la gestione da parte di un unico fornitore. Anthropic ha donato il protocollo a un progetto appena costituito della Linux Foundation, l’Agentic AI Foundation (AAIF), fondato insieme a Block e OpenAI e sostenuto da membri tra cui Google, Microsoft, AWS, Cloudflare e Bloomberg. Secondo i dati diffusi da Anthropic al momento della donazione, c’erano più di 10.000 server MCP pubblici attivi, oltre 97 milioni di download mensili degli SDK per Python e TypeScript, e MCP era integrato in ChatGPT, Gemini, Microsoft Copilot, Cursor e VS Code.

Il framework per agenti goose di Block e AGENTS.md di OpenAI si sono aggiunti a MCP come altri progetti fondatori della fondazione: un segnale che il settore voleva collocare almeno l’infrastruttura di collegamento della rete degli agenti al di fuori della roadmap di una singola azienda, secondo una logica simile a quella seguita da Google quando affidò Kubernetes alla Cloud Native Computing Foundation nel 2016.

Sette mesi dopo la donazione, la specifica ha subito la sua modifica più profonda fino a quel momento. La revisione 2026-07-28, pubblicata il 28 luglio 2026 e sostitutiva della 2025-11-25, ha reso MCP stateless: l’handshake initialize/notifications/initialized è stato eliminato, così come l’header Mcp-Session-Id dal trasporto Streamable HTTP, e ora ogni richiesta contiene la propria versione del protocollo e le capacità del client in _meta. I client possono usare una chiamata RPC server/discover per conoscere le capacità di un server. Strumenti, risorse e prompt sono rimasti invariati; Roots, Sampling e Logging sono stati deprecati secondo una nuova politica che prevede un periodo minimo di dodici mesi, mentre Tasks è uscito dal nucleo del protocollo per diventare un’estensione ufficiale.

La nuova versione è la più importante per MCP da quando, oltre un anno fa, è stato introdotto MCP remoto. Rappresenta un grande passo avanti nella gestione di server MCP scalabili e mette a frutto tutto ciò che abbiamo imparato negli ultimi 18 mesi per fornire una base solida al futuro di MCP. — David Soria Parra, membro dello staff tecnico, coinventore di MCP

L’effetto riguarda l’infrastruttura, non la semantica. Nell’analisi della revisione pubblicata da Cloudflare si osserva che un server che prima richiedeva sessioni persistenti, lo svuotamento delle connessioni durante i rilasci e la migrazione delle sessioni durante lo scaling automatico ora può funzionare come un normale servizio HTTP stateless: su Workers, senza Durable Objects. Un protocollo gestito da una fondazione si è evoluto nella direzione che rende economico ospitarlo per chiunque, anziché in quella che renderebbe necessario l’ambiente di esecuzione di un singolo fornitore. L’adozione ha tenuto il passo: al momento della versione di luglio, il progetto riferiva quasi mezzo miliardo di download al mese complessivi per i suoi SDK Tier 1, mentre gli SDK TypeScript e Python avevano superato ciascuno il miliardo di download totali.

A2A: insegnare agli agenti a comunicare tra loro

MCP risolve la comunicazione tra agenti e strumenti. Non dice però nulla su come un agente autonomo scopra un altro agente autonomo sviluppato da qualcun altro, stabilisca se fidarsi di lui o gli deleghi un compito: è la lacuna che il protocollo Agent2Agent (A2A) di Google è stato creato per colmare. Google ha annunciato A2A il 9 aprile 2025, insieme a più di 50 partner presenti al lancio, tra fornitori di software (Atlassian, Box, Cohere, Intuit, LangChain, MongoDB, PayPal, Salesforce, SAP, ServiceNow, UKG, Workday) e integratori di sistemi (Accenture, BCG, Capgemini, Cognizant, Deloitte, HCLTech, Infosys, KPMG, McKinsey, PwC, TCS, Wipro).

A2A definisce due elementi fondamentali. Un’Agent Card è un documento JSON, di norma disponibile all’endpoint /.well-known/agent-card.json, che indica il nome, la versione, le competenze e i sistemi di autenticazione supportati da un agente: un biglietto da visita che un agente client può consultare prima di decidere se affidargli un compito. Un Task è il compito stesso: ha un ID univoco e attraversa un ciclo di vita definito (inviato, in lavorazione, input richiesto, completato, non riuscito, annullato); gli aggiornamenti sullo stato di avanzamento vengono trasmessi tramite server-sent events e i risultati finali restituiti come «artefatti».

Google ha pubblicato la specifica con licenza Apache 2.0 e, il 23 giugno 2025, ha conferito A2A alla Linux Foundation per garantirne una governance neutrale. Il passaggio alla gestione di una fondazione è stato più rapido che per MCP, anche se entrambi sono finiti sotto l’egida della Linux Foundation a circa sei mesi di distanza l’uno dall’altro.

Google e Anthropic descrivono entrambi il rapporto tra i due protocolli come complementare, non concorrenziale: MCP permette a un agente di accedere a un database o chiamare una funzione; A2A permette a un agente di trovare un altro agente e negoziare con lui, anche se quest’ultimo opera su uno stack di un fornitore completamente diverso. Il protocollo per i pagamenti AP2 di Google, trattato più avanti, può essere usato come estensione di entrambi.

Le infrastrutture di pagamento costruite per gli agenti

Se gli agenti devono effettuare transazioni — prenotare un volo, comprare un biglietto, rifornire la dispensa — qualcuno deve definire come si muove il denaro quando a dare il via all’acquisto non è una persona che clicca su «acquista». Quattro circuiti di carte e piattaforme si sono mossi in questa direzione nell’arco di circa un anno.

Visa ha lanciato Intelligent Commerce nel 2025, consentendo agli utenti di tokenizzare le credenziali della propria carta in un agente di IA, con limiti di spesa associati e la possibilità di usare le passkey di pagamento Visa per autenticare l’utente. Nell’ottobre 2025 è seguito Trusted Agent Protocol, un framework aperto sviluppato con più di dieci partner per aiutare i commercianti a distinguere, al momento del pagamento, gli agenti che effettuano acquisti legittimi dai bot.

Il framework Agent Pay di Mastercard, risalente ad aprile 2025, emette «Agentic Tokens» tramite il suo Digital Enablement Service, affinché un agente verificato possa spendere per conto di un consumatore. Nel giugno 2026 Mastercard lo ha ampliato con Agent Pay for Machines, rivolto alle transazioni da macchina a macchina e alle microtransazioni inferiori a un centesimo tramite carte, conti bancari e stablecoin; più di 30 partner, tra cui Stripe, Coinbase e Cloudflare, stanno sviluppando soluzioni basate su di esso.

OpenAI e Stripe hanno scelto un punto d’ingresso diverso: il commercio all’interno dell’interfaccia di chat. Il loro Agentic Commerce Protocol (ACP), sviluppato congiuntamente e pubblicato con licenza Apache 2.0 il 29 settembre 2025, definisce il rapporto tra un acquirente, un agente che agisce per suo conto, un commerciante e un fornitore di servizi di pagamento. È stato lanciato insieme a Instant Checkout in ChatGPT: inizialmente per i venditori statunitensi su Etsy, poi per i commercianti su Shopify. PayPal ha aderito ad ACP come fornitore di servizi di pagamento il 28 ottobre 2025.

La proposta di Google, l’Agent Payments Protocol (AP2), annunciata il 16 settembre 2025 con più di 60 partner nei settori dei pagamenti e della tecnologia (tra cui PayPal, Mastercard, American Express, Adyen, Coinbase, Salesforce, ServiceNow, Worldpay, JCB e UnionPay), funziona come un’«autorizzazione» firmata crittograficamente che una persona concede a un agente prima che possa spendere. È progettato esplicitamente per operare sopra A2A e MCP, non per sostituirli.

Nell’aprile 2026, in occasione del conferimento di AP2 alla FIDO Alliance, Google ha pubblicato la versione 0.2.0, aggiungendo i pagamenti «Human Not Present» per situazioni come l’acquisto autonomo di biglietti a disponibilità limitata nell’istante in cui vengono messi in vendita. Al Google I/O 2026 sono seguiti una nuova esperienza Universal Cart e l’ampliamento di Universal Commerce Protocol (UCP): il carrello può rimanere disponibile passando prima tra Search e Gemini, poi tra YouTube e Gmail, mentre il supporto per il pagamento viene esteso a Canada e Australia, con il Regno Unito previsto in seguito.

Identità: dimostrare che l’agente è chi dice di essere

Niente di quanto descritto fin qui funziona se un commerciante, una banca o un secondo agente non riesce a distinguere un agente d’acquisto legittimo da chi si spaccia per tale, o se un’azienda non riesce a capire quale delle sue migliaia di procedure autonome stia agendo e con quali autorizzazioni. Nel corso del 2025, i fornitori di soluzioni per l’identità sono intervenuti per colmare questa lacuna.

Nel settembre 2025 Okta ha presentato Okta for AI Agents, trattando gli agenti come identità a pieno titolo, soggette a governance al pari degli account umani e di servizio. Insieme ha presentato un protocollo aperto, Cross App Access (XAA), pensato per standardizzare il modo in cui un agente si autentica presso un’applicazione di terze parti senza che l’utente debba reinserire le credenziali a ogni passaggio.

Il progetto parallelo «Auth for GenAI» di Auth0 ha aggiunto un Token Vault che gestisce i token OAuth 2.0 degli agenti che si collegano a servizi come Gmail e Slack, occupandosi del rinnovo e dello scambio degli ambiti di autorizzazione, così che uno sviluppatore non debba conservare credenziali di lunga durata nell’ambiente di esecuzione di un agente. L’impostazione è la stessa in entrambi i casi: accesso con privilegi minimi, durata limitata e attestazione crittografica per un soggetto non umano. È un problema sostanzialmente diverso dall’autenticazione di una persona.

Accanto all’identità c’è un dibattito meno visibile su come un sito web debba presentarsi a un agente. NLWeb di Microsoft, annunciato a Build nel maggio 2025, trasforma un endpoint di qualsiasi sito web in un server MCP che risponde direttamente a richieste in linguaggio naturale, consentendo di fatto a un sito di scegliere di dialogare con gli agenti anziché limitarsi a farsi scansionare.

L’idea concorrente, molto più leggera — llms.txt, un semplice file markdown che un sito pubblica per presentarsi ai crawler, proposto da Jeremy Howard nel settembre 2024 — non ha preso piede tra i fornitori di modelli: più di 784 siti l’hanno adottata, ma a metà del 2026 nessun grande fornitore si era impegnato a leggere il file e Google lo ha paragonato pubblicamente al discreditato meta tag delle parole chiave.

La vulnerabilità ereditata

Aprire un canale standardizzato tra un modello linguistico e strumenti esterni di ogni genere ripropone un vecchio problema in una forma nuova: la prompt injection. Nel 2025 i ricercatori di sicurezza di Invariant Labs hanno reso noti quelli che hanno chiamato Tool Poisoning Attacks: un server MCP può inserire istruzioni nascoste nel campo che descrive uno dei suoi strumenti. Il modello legge quel testo come metadati attendibili quando sceglie quale strumento usare e, se è abbastanza capace, seguirà le istruzioni incorporate senza segnalarlo, potenzialmente esfiltrando file o facendo trapelare segreti attraverso una chiamata a uno strumento legittimo e non collegato all’attacco, che l’utente aveva effettivamente autorizzato.

La stessa ricerca ha descritto altre modalità di attacco: lo «shadowing», in cui le descrizioni degli strumenti di un server malevolo possono prevalere su quelle degli strumenti di un server attendibile o reinterpretarne il funzionamento, e i «rug pull di MCP», in cui un server modifica le definizioni dei propri strumenti dopo che un utente le ha già approvate. In seguito Invariant ha rilasciato MCP-Scan, uno strumento di analisi statica che esamina i server configurati in un client e i metadati dei loro strumenti alla ricerca di rischi di iniezione prima che venga eseguita qualsiasi operazione. Una ricerca separata di CyberArk ha esteso la preoccupazione agli output degli strumenti, non solo alle loro descrizioni, sostenendo che qualsiasi testo restituito da un server MCP è un potenziale veicolo di iniezione una volta rientrato nel contesto del modello.

Il punto strutturale è che MCP, A2A e i protocolli per il commercio convogliano tutti una maggiore autorità decisionale attraverso testi interpretati dai modelli, e nessuno elimina il fatto che un modello linguistico non può distinguere pienamente un’istruzione impartita da chi lo ha incaricato di agire da una introdotta di nascosto da una terza parte.

Il fronte dei browser e ciò che resta irrisolto

La battaglia per l’interfaccia procede in parallelo a quella per i protocolli, perché chi gestisce il client che custodisce la sessione, le credenziali e i token di pagamento di un utente ha potere su tutti i protocolli sottostanti. Il browser Comet di Perplexity è arrivato in versione ad accesso limitato il 9 luglio 2025 per gli abbonati Max da 200 dollari al mese, prima che Perplexity lo rendesse disponibile gratuitamente a tutti, in tutto il mondo, nell’ottobre dello stesso anno.

OpenAI ha risposto con ChatGPT Atlas, un browser lanciato il 21 ottobre 2025 inizialmente per macOS, con una prima versione di «Agent Mode» per azioni autonome circoscritte, per poi dismetterlo meno di dieci mesi dopo. Il 9 luglio 2026 OpenAI ha confermato che Atlas sarebbe stato dismesso e il browser ha smesso di funzionare il 9 agosto 2026. Le sue funzioni di navigazione agentica sono confluite nell’estensione ChatGPT per Chrome e nell’unica applicazione desktop in cui OpenAI aveva dichiarato, nel marzo 2026, che avrebbe riunito Atlas, l’app desktop ChatGPT e Codex: parte di una più ampia iniziativa guidata da Fidji Simo, responsabile delle applicazioni di OpenAI, per ridurre i progetti collaterali autonomi.

Google ha fatto la scommessa opposta: ampliare il browser già affermato anziché lanciarne uno concorrente. Il 28 gennaio 2026 ha annunciato Chrome Auto Browse, una funzionalità basata su Gemini 3 che scorre le pagine, fa clic e compila moduli nell’ambito di attività in più fasi, richiedendo l’approvazione dell’utente nei passaggi sensibili. In seguito ha aggiunto i flussi di lavoro «Chrome Skills», che possono essere salvati (aprile 2026), e controlli aziendali per la prevenzione della perdita di dati nella navigazione agentica.

Con il 2026 ormai quasi concluso, restano questioni davvero aperte: la scoperta degli agenti (non esiste ancora un registro che, per trovare agenti affidabili, funzioni come il DNS o un app store, e Google, OpenAI, Stripe e i marketplace indipendenti su Replit, Vercel e Cloudflare stanno costruendo ciascuno il proprio catalogo anziché convergere su uno solo); la fiducia e la responsabilità (quando un agente che effettua acquisti autonomamente compra la cosa sbagliata o viene ingannato dalla descrizione manipolata di uno strumento, la scelta di quale soggetto nella catena dei pagamenti Visa/Mastercard/Stripe/Google si faccia carico della perdita è ancora negoziata contratto per contratto, anziché essere definita da un protocollo); e chi, se mai ci sarà, finirà per controllare l’equivalente di un app store per agenti, invece di una serie frammentata di marketplace specifici dei singoli fornitori.

Il Universal Commerce Protocol di Google mostra quanto lentamente proceda la parte relativa al commercio. Quando ha annunciato Universal Cart il 19 maggio 2026, Google ha dichiarato che presto gli acquirenti avrebbero potuto provare alcune funzionalità per completare gli acquisti presso rivenditori statunitensi tra cui Nike, Sephora, Target, Ulta Beauty, Walmart e Wayfair; aveva promesso l’arrivo in Canada e Australia «nei mesi successivi» e, in seguito, nel Regno Unito. Cinque mesi dopo, Google non ha pubblicato alcuna data per il Regno Unito. Un formato per lo scambio di dati può essere donato a una fondazione in un pomeriggio; un’infrastruttura di pagamento deve superare le regole di un paese alla volta.