Protokol A2A (Agent2Agent) 2026: Spesifikasi dan Keamanan

Pembagian peran menurut A2A sendiri terhadap MCP adalah: “MCP bersifat vertikal, memperdalam satu agen; A2A bersifat horizontal, menghubungkan agen melintasi batas.” Dalam A2A, pihak yang dipanggil adalah agen yang “tidak transparan”: ia bernalar dan menyimpan status sendiri, pemanggil tidak dapat melihat model atau tool apa yang dipakai di dalamnya, dan kedua pihak hanya berinteraksi berulang kali melalui siklus hidup tugas (Task). Dokumen resmi Taiwan juga sudah membahas A2A: Buku Panduan Referensi Penerapan AI Sektor Publik V1.0 dari Kementerian Urusan Digital Taiwan (tanggal penyediaan tercatat dalam dokumen 115-01-28, kalender Minguo) memuat subbagian “A2A: protokol komunikasi antaragen AI” di halaman 14, yang menjelaskan bahwa fokusnya adalah komunikasi “Client–remote”.

Tata kelola A2A terbagi dalam tiga tahap. Pada 2025-06-23 Linux Foundation mengumumkan pengambilalihan, dengan anggota pendiri AWS, Cisco, Google, Microsoft, Salesforce, SAP, dan ServiceNow; pada 2025-08-29 ACP yang dipimpin IBM digabungkan ke A2A dan pengembangannya dihentikan. Kewenangan keputusan sebenarnya ada pada Technical Steering Committee (TSC) beranggotakan 9 kursi, satu kursi per perusahaan: Google, Microsoft, Cisco, AWS, Salesforce, ServiceNow, SAP, IBM, dan Bloomberg. Usulan diputuskan lewat gitvote pada GitHub issue berlabel TSC Review; misalnya #1942 yang menggabungkan 41 isu menjadi delapan tema v1.1 disetujui pada 2026-06-25 dengan 5 suara setuju dan 0 menolak (ambang 51%).

Pada Agustus 2026, A2A bergabung dengan Agentic AI Foundation (AAIF) sebagai proyek Growth Stage, sehingga berada di yayasan yang sama dengan MCP. Tanggal bergabung tidak konsisten antarsumber: blog AAIF dan Axios menulis 2026-08-17, blog resmi A2A dan halaman spesifikasi menulis 2026-08-27, sedangkan laporan Forbes bertanggal 08-19. Salah satu kemungkinan adalah 08-17 merupakan pengumuman yayasan dan 08-27 unggahan pihak proyek, tetapi tidak ada sumber yang mengonfirmasi penjelasan ini; artikel ini mencantumkan kedua tanggal berdampingan tanpa memilihkan salah satunya. Diginomica menghitung A2A sebagai proyek ke-5 yang dinaungi AAIF, setelah MCP, goose, AGENTS.md, dan agentgateway; ada pula sumber sekunder yang menekankan bahwa ini hanya penyesuaian organisasi dan kedua spesifikasi tidak digabung.

Dokumen tata kelola A2A menyatakan “komposisi periode stabil diputuskan 18 bulan setelah pembentukan”. Dihitung dari Juni 2025, tenggat itu jatuh sekitar Desember 2026, sementara pengumuman AAIF tidak menjelaskan apakah TSC akan dirombak. Ini inferensi: komposisi TSC mungkin berubah dalam waktu dekat dan layak dipantau.

Semua metode A2A v1.0 berganti nama: message/send menjadi SendMessage, message/stream menjadi SendStreamingMessage, tasks/resubscribe menjadi SubscribeToTask, dan ditambahkan ListTasks. Path REST beralih ke gaya AIP, misalnya POST /tasks/{id}:cancel, dan prefiks /v1 dihapus. Format error HTTP berganti dari application/problem+json RFC 9457 ke google.rpc.Status; reason ditulis dengan huruf besar dan garis bawah (misalnya TASK_NOT_FOUND), dan domain tetap “a2a-protocol.org”. Catatan riset menilai revisi ini pada dasarnya mengubah A2A ke gaya panduan desain Google API; ini inferensi.

Perubahan paling merusak (breaking) pada model data adalah Part yang diratakan. TextPart, FilePart, DataPart, dan kolom pembeda kind dihapus; kini satu Part hanya berisi salah satu dari text, raw (bytes), url, atau data, dan jenisnya ditentukan dari kolom mana yang ada, bukan dengan membaca kind; mimeType berganti nama menjadi mediaType, dan file.fileWithUri menjadi url. Laporan komunitas menyebut banyak parser hingga kini masih membaca part.kind, dan ini penyebab paling umum kegagalan interoperabilitas antara 0.3 dan 1.0. Agent Card kini berpusat pada supportedInterfaces[]; setiap antarmuka membawa url, protocolBinding, protocolVersion, dan tenant opsional masing-masing; klien memilih sesuai urutan array dan SHOULD mengimplementasikan fallback.

Negosiasi versi memiliki satu default yang jarang diperhatikan: jika header A2A-Version kosong, diperlakukan sebagai 0.3. Klien hanya mengirim Major.Minor, dan server yang tidak mendukung mengembalikan −32009 VersionNotSupportedError; satu agen dapat mencantumkan antarmuka dengan protocolVersion berbeda di supportedInterfaces sehingga 0.3 dan 1.0 bisa berdampingan. Migrasi resmi terdiri dari tiga tahap: pertama mampu mengurai kedua format, lalu mengeluarkan 1.0 sambil membaca 0.3, terakhir hanya 1.0. Atlassian Forge dan MuleSoft sudah menerbitkan panduan migrasi 0.3→1.0, menandakan perubahan yang merusak ini memang menimbulkan biaya nyata.

Semantik task memiliki beberapa detail yang baru terlihat setelah membaca spesifikasi sampai habis. taskId selalu dibuat oleh server; jika contextId dibawa oleh klien, agen hanya boleh menerima atau menolaknya, tidak boleh membuat yang baru; jika taskId dan contextId tidak cocok, agen MUST menolak. Mengirim pesan ke tugas yang sudah berada di empat status akhir COMPLETED, FAILED, CANCELED, atau REJECTED akan menghasilkan UnsupportedOperationError; untuk melanjutkan, buat tugas baru dalam context yang sama lalu tautkan ke tugas asal dengan referenceTaskIds. State machine memiliki dua status “interupsi”: TASK_STATE_INPUT_REQUIRED dan TASK_STATE_AUTH_REQUIRED; SendMessage yang bersifat blocking juga akan kembali saat menemui status interupsi.

Jaminan streaming dan push lebih lemah daripada yang dikira banyak orang. Flag final pada TaskStatusUpdateEvent dihapus di 1.0 dan diganti dengan “koneksi ditutup” sebagai tanda akhir stream, sehingga putus koneksi di tengah tugas dan tugas selesai terlihat sama di sisi klien; harus memanggil GetTask atau SubscribeToTask lagi untuk membedakannya. Spesifikasi juga tidak memiliki mekanisme melanjutkan berdasarkan ID event, yang sudah dimasukkan sebagai tema v1.1 #1986. Notifikasi push mengirim StreamResponse via HTTP POST ke webhook klien dengan Content-Type application/a2a+json; spesifikasi hanya mewajibkan agen mencoba mengirim setidaknya sekali, dengan batas waktu SHOULD sekitar 10–30 detik, dan penerima SHOULD memprosesnya secara idempoten serta MUST memverifikasi taskId. Dengan kata lain, push bersifat “setidaknya sekali, urutan tidak dijamin, payload tidak ditandatangani”; ini inferensi berdasarkan spesifikasi. Idempotensi pun baru setengah jalan: SendMessage “boleh” melakukan deduplikasi dengan messageId, tetapi tidak wajib.

Ada dua kontradiksi sumber soal tanggal dan jumlah. Tanggal rilis v1.0: CHANGELOG menulis 2026-03-12, sebuah makalah survei (arXiv:2507.10644 v4) menulis Januari 2026, dan siaran pers ulang tahun pertama Linux Foundation hanya menyebut v1.0 sebagai versi stabil pertama tanpa tanggal; artikel ini memakai CHANGELOG sebagai sumber primer. Jumlah SDK: Linux Foundation pada 2026-04 menyebut 5 bahasa yang “production-ready”, sedangkan pengumuman resmi A2A mencantumkan 6 bahasa, yaitu Python, Go, Java, JS, .NET, dan Rust, tetapi SDK Rust yang sudah diuji secara mendetail adalah versi komunitas.

Selama setahun terakhir sering terdengar “MCP sudah menambah Tasks, jadi A2A tidak perlu lagi”, tetapi arah MCP versi 2026-07-28 justru sebaliknya. MCP versi 2025-11-25 memang menambahkan Tasks eksperimental (SEP-1686) untuk melacak permintaan berdurasi panjang, polling, dan pengambilan hasil yang ditunda, dengan status (working, input_required, completed, failed, cancelled) yang hampir satu-satu sepadan dengan A2A. Namun versi 2026-07-28 menghapus session dan handshake initialize sehingga MCP menjadi stateless (SEP-2567, SEP-2575), memindahkan Tasks keluar dari inti menjadi ekstensi resmi io.modelcontextprotocol/tasks (SEP-2663), mengganti permintaan yang diinisiasi server dengan MRTR (InputRequiredResult disertai inputResponses yang dilampirkan saat mengirim ulang) (SEP-2322), serta menandai Sampling, Roots, dan Logging sebagai deprecated (SEP-2577).

Makna perubahan ini adalah para pengelola MCP sengaja meninggalkan jalur agentifikasi “server meminjam penalaran LLM pemanggil”; ini inferensi. Jika server MCP ingin bernalar sendiri, ia harus membawa modelnya sendiri, dan saat itu ia sebenarnya sudah menjadi agen tidak transparan yang hanya berpenampilan tool. Task di MCP menangani “pengambilan tertunda atas satu pemanggilan tool berdurasi panjang”, sedangkan Task di A2A menangani “kolaborasi multi-putaran yang memungkinkan kedua pihak bertanya”, ditambah penemuan lewat Agent Card, deklarasi skill, dan streaming artefak. Arah sebaliknya juga punya skenario gagal: kueri deterministik seperti cek harga atau cek tarif pajak yang dipaksa memakai siklus hidup Task, Message, dan Artifact akan menambah latensi dan biaya implementasi, dan LLM pemanggil juga tidak mendapat schema tool yang rinci; ini juga inferensi. Catatan riset tidak menemukan catatan insiden nyata tentang “gagal karena memakai MCP untuk agen-ke-agen” atau “gagal karena membungkus tool dengan A2A”.

Dari sisi adopsi, selain jumlah topic GitHub, sebuah perbandingan PyPI yang tidak sistematis menunjukkan SDK A2A diunduh sekitar 10,9 juta kali dan SDK MCP sekitar 257 juta kali. Sumber sekunder menyebut endpoint UCP Shopify memakai MCP sebagai lapisan transport, artinya agen niaga arus utama terhubung lewat MCP. Di sisi platform cloud: AWS AgentCore Runtime dapat men-deploy server A2A (JSON-RPC, POST /, port 9000, OAuth 2.0 atau SigV4); dukungan A2A di Microsoft Foundry memasuki public preview pada Juni 2026; Google Agent Registry membaca kartu well-known, tetapi penemuan otomatis hanya dalam satu proyek yang sama. Di antara vendor model utama yang ditelusuri catatan riset, Anthropic saat ini belum memiliki dukungan A2A native, dan issue #104852 terkait Claude Code baru dibuka pada akhir Oktober 2026.

Cara memilih dalam praktik cukup sederhana: jika ingin asisten AI memanggil fungsi deterministik Anda (penawaran harga, cek tarif pajak, cek status kiriman), gunakan MCP; A2A baru diperlukan jika dua agen yang sama-sama bernalar dan berasal dari organisasi berbeda perlu berkolaborasi dalam banyak putaran. MCP publik HowBridge termasuk kategori pertama; cara menghubungkannya dapat dilihat di tutorial MCP pengiriman konsolidasi di situs ini.

Agent Card A2A mendeklarasikan salah satu dari lima skema autentikasi melalui securitySchemes: API Key, HTTP Auth, OAuth2, OIDC, mTLS. v1.0 menghapus implicit flow dan password flow OAuth, menambahkan Device Code, dan menyarankan semua klien memakai PKCE. Spesifikasi mewajibkan server “MUST authenticate every incoming request”, tetapi otorisasi bersifat implementation-specific, dan kredensial harus diperoleh melalui saluran di luar pita (out-of-band); ketika tugas masuk status AUTH_REQUIRED, spesifikasi secara khusus menulis “Agents MUST NOT treat the state transition alone as authorization”. Bagian 13 “Pertimbangan Keamanan” sama sekali tidak menyebut prompt injection, delegasi atau token exchange, OpenTelemetry, dan juga tidak memuat persyaratan khusus isolasi tenant. Ulasan Semgrep pada era v0.3 menunjukkan bahwa A2A “supports but does not enforce Agent Card signing”, masa berlaku dan scope token tidak dibatasi protokol, dan satu tugas dapat memiliki beberapa stream paralel sehingga token session yang dicuri dapat diam-diam menyadap stream korban.

Meskipun Agent Card sudah ditandatangani, saat ini belum ada jaminan dapat diverifikasi lintas SDK. Spesifikasi mengharuskan kartu dikanonisasi dulu menurut RFC 8785 (JCS) (tanpa kolom signatures) lalu dibuat JWS, dan protected header MUST memuat alg dan kid. Issue #2122 (dibuka 2026-08-10, per 2026-10-31 belum ditutup) mencatat perbedaan hasil uji: a2a-python 1.1.2 dan @a2a-js/sdk 1.0.1 menghasilkan byte kanonis yang berbeda; Python meng-escape karakter non-ASCII menjadi \uXXXX, mengurutkan berdasarkan code point alih-alih unit UTF-16, dan menulis angka sebagai 1e-06, sedangkan ECMAScript menulis 0.000001; spesifikasi mewajibkan kolom REQUIRED tetap muncul meskipun bernilai default, tetapi proto3 tidak mengenal konsep presence sehingga description: "" dan skills: [] akan dibuang; typ juga ambigu. PR #2319 memperbaiki contoh di spesifikasi, tetapi keluaran a2a-go tetap berbeda. Keterbatasan lainnya: tanda tangan yang lolos verifikasi hanya membuktikan kartu tidak diubah, bukan identitas penerbitnya, dan komunitas juga menunjukkan bahwa spesifikasi tidak memiliki mekanisme apa pun untuk mengikat kartu ke lingkungan eksekusi yang benar-benar mengirim panggilan.

Sebagian serangan tetap dapat berhasil meskipun sepenuhnya sesuai spesifikasi. A2ABreak (arXiv:2609.10871, v3 2026-10-24) memakai LLM untuk mengekstrak 37 status, 76 transisi, dan 929 pernyataan formal dari spesifikasi berbahasa alami, lalu menemukan 11 kerentanan baru yang semuanya “tidak memerlukan cacat implementasi apa pun; lawan yang patuh spesifikasi sudah dapat memanfaatkannya”, misalnya context identifier tanpa perlindungan yang memungkinkan injeksi context lintas klien, hilangnya identitas setelah beberapa lompatan rantai delegasi, dan agen yang mengklaim kemampuan yang belum terbukti. Riset tabrakan nama (arXiv:2609.27624) menunjukkan spesifikasi memosisikan name sebagai “human-readable metadata, not as a stable identity” tanpa mendefinisikan aturan tabrakan; dari 7 implementasi open source yang ditelusuri penulis, 6 integrasi tipe klien akan mengirim permintaan ke endpoint yang dikendalikan penyerang, dan penulis mengategorikannya sebagai kelas kerentanan implementasi yang berulang, bukan kerentanan protokol yang umum. Unit 42 milik Palo Alto Networks membuat proof of concept session smuggling dengan Google ADK, menunjukkan agen jahat memakai “pertanyaan klarifikasi” untuk memancing instruksi sistem dan menggiring klien memanggil buy_stock sehingga membeli 10 saham tanpa otorisasi; Unit 42 menegaskan ini bukan kerentanan protokol, setiap protokol multi-putaran yang stateful dapat terdampak, dan belum terlihat eksploitasi di dunia nyata. Komunitas juga melaporkan bahwa server jahat dapat menyembunyikan instruksi di kolom description atau skills pada Agent Card, yang kemudian dijalankan LLM host sebagai perintah.

Bukti empiris akademis tentang serangan lintas agen juga mendukung prinsip “kepercayaan antaragen tidak boleh diasumsikan”. Triedman dkk. (COLM 2025) menemukan konten halaman web berbahaya dapat membajak alur kendali sistem multi-agen; dengan GPT-4o, eksekusi kode arbitrer berhasil pada 58%–90% percobaan. Survei tertelaah sejawat oleh Ferrag dkk. di ICT Express (2026) memetakan serangan dari prompt injection hingga lapisan protokol, mencakup MCP dan A2A.

Nomor CVE pada tabel di bawah disalin persis dari catatan riset. Catatan riset itu sendiri menandai bahwa angka nomor-nomor ini tidak lazim, dan sebagian entri hanya muncul di satu basis data (misalnya CVE-2026-90790 tidak memiliki GHSA yang sesuai di repo a2a-python, hanya muncul di OpenCVE). Kueri repo advisories untuk a2a-js, a2a-go, dan a2a-dotnet mengembalikan hasil kosong, tetapi ini bisa karena keterbatasan izin dan tidak berarti pasti tidak ada kerentanan. Dari tabel ini dapat ditarik tiga pelajaran, berikut ini inferensi: pertama, Agent Card adalah input yang dapat dikendalikan penyerang, bahkan nama header pun bisa ditentukan pihak lawan; kedua, spesifikasi hanya menulis “SHOULD memvalidasi URL webhook”, sehingga SDK di dua bahasa sama-sama terkena SSRF; ketiga, spesifikasi menyatakan “otorisasi ditentukan implementasi”, dan SDK Java yang paling populer secara default tidak melakukan otorisasi, bahkan perbaikannya sempat dilewati karena perbedaan platform Android.

Masalah identitas agen kini terbagi menjadi tiga lapisan di luar A2A. Lapisan pertama adalah identitas workload, menjawab “program apa ini”: penulis draft-klrc-aiagent-auth berasal dari Amazon, Zscaler, Ping Identity, OpenAI, dan lainnya; draf ini telah diadopsi kelompok kerja IETF WIMSE dan digantikan oleh draft-ietf-wimse-aims, dengan pendekatan memakai keluarga WIMSE dan OAuth 2.0 yang sudah ada, “tanpa menciptakan protokol baru”. Lapisan kedua adalah otorisasi dan delegasi, menjawab “mewakili siapa dan boleh melakukan apa”: contoh dari Ping Identity memakai act claim pada token exchange RFC 8693 untuk mencatat seluruh jalur delegasi dan may_act untuk membatasi lompatan berikutnya; namun RFC 8693 semula dirancang untuk pertukaran antarserver “setelah persetujuan terjadi”, dan tidak secara native mencakup persetujuan pengguna terhadap agen tertentu.

Lapisan ketiga adalah identitas yang dapat diverifikasi pihak luar, menjawab “bagaimana pihak asing bisa memercayainya”. Cloudflare Web Bot Auth menandatangani permintaan HTTP dengan Ed25519 dan RFC 9421, tetapi saat ini Cloudflare tidak memverifikasi nonce, sehingga pencegahan replay terutama mengandalkan masa berlaku singkat sekitar 1 menit; draf ANS v2 memverifikasi domain dengan ACME dan dibagi menjadi tiga tingkat: Bronze, Silver (ditambah DANE), dan Gold (ditambah log transparansi SCITT). A2A hanya menyentuh tanda tangan kartu pada lapisan ini, dan tanda tangan itu pun opsional. Produk komersial sudah lebih dulu tersedia: Okta Agent SSO resmi diluncurkan pada 2026-08-24 dan memakai ID-JAG; Microsoft Entra Agent ID tidak mendukung ID-JAG secara native, dan tanggal peluncuran resminya berbeda antarsumber (2026-04 atau 2026-05). Karena itu, saat menjalankan A2A lintas perusahaan, kedua pihak kemungkinan besar harus melakukan konversi token di batas masing-masing; ini inferensi.

Di tingkat pemerintah juga ada upaya mengisi kekosongan ini. CAISI di NIST Amerika Serikat pada 2026-02-17 mengumumkan AI Agent Standards Initiative dengan tiga pilar: standar yang dipimpin industri, protokol open source yang dipimpin komunitas, serta riset keamanan dan identitas agen; namun halaman inisiatif hanya memakai istilah umum seperti “interoperable agent protocols” tanpa menyebut A2A atau MCP. Proyek NIST NCCoE “Software and AI Agent Identity and Authorization” pada 2026-09-29 menerbitkan ringkasan tanggapan atas makalah konsepnya, dengan lebih dari 600 lembaga atau individu yang menanggapi. Blog NIST pada 2026-10-27 berjudul “Design Tenets for Agent Identity Management Systems” mengajukan 10 prinsip desain, termasuk agen harus memiliki identitas tersendiri, terhubung dengan pihak yang menginisiasi dan izinnya menyempit di setiap lapis delegasi, hak akses minimum, otorisasi berjangka pendek dan dapat dicabut, intervensi manusia yang dipicu berdasarkan risiko, mandat bertanda tangan untuk membatasi cakupan tindakan, dan catatan yang tidak dapat diubah; posisinya adalah blog, bukan standar resmi.

Arah riset akademis sejalan dengan hal ini. South dkk. mengusulkan perluasan kredensial khusus agen di atas OAuth 2.0 / OIDC untuk membangun rantai delegasi yang dapat diaudit, dan versi position paper dari riset yang sama dimuat di ICML 2025 Position Paper Track; Chan dkk. di FAccT 2024 berpendapat bahwa visibilitas agen dapat ditingkatkan melalui tiga jenis langkah: pengenal agen, pemantauan real-time, dan log aktivitas.

AP2 sudah bukan lagi versi yang diingat orang pada 2025. v0.2.0 mengubah mekanismenya menjadi Checkout Mandate dan Payment Mandate, masing-masing dengan dua tahap open dan closed, diimplementasikan dengan SD-JWT, dan open mandate menyimpan kunci publik agen dalam cnf claim. Hal baru yang penting adalah alur Human-Not-Present: pengguna lebih dulu menandatangani open mandate dengan kuncinya sendiri di antarmuka tepercaya dan menuliskan batasannya, lalu agen menandatangani closed mandate dengan kunci agen, dan keduanya diikat dengan sd_hash; merchant atau penyedia kredensial dapat mengembalikan unresolved_constraint untuk mengembalikan alur ke kondisi “manusia hadir”. Spesifikasi juga menyarankan merchant memakai tanda tangan non-deterministik (ECDSA), bukan Ed25519, saat menandatangani Checkout JWT untuk mencegah serangan rainbow table. Yang paling krusial, spesifikasi AP2 menempatkan penanganan, penyimpanan, dan pengambilan bukti sengketa sebagai out of scope, dan hanya menjanjikan jejak audit kriptografis yang tidak dapat disangkal. Catatan riset juga mencatat bahwa cara perluasan yang direkomendasikan spesifikasi AP2 adalah extension points milik UCP, sementara A2A justru tidak dibahas di badan spesifikasi; posisi AP2 bergeser dari “ekstensi A2A” menjadi “lapisan keamanan dalam protokol niaga”; ini inferensi.

Cara ekstensi pembayaran dipasang pada A2A adalah melalui mekanisme extension A2A itu sendiri: dideklarasikan sebagai AgentExtension (uri, description, required, params) di AgentCapabilities, dan klien meminta aktivasi lewat header A2A-Extensions; ekstensi tidak boleh mengubah struktur data inti atau menambah nilai enum, hanya boleh bekerja melalui metadata, perubahan yang merusak wajib memakai URI baru, dan saat menemui versi yang tidak didukung “MUST NOT fall back”. a2a-x402 (spec v0.1) adalah ekstensi semacam ini: merchant mengirim payment-required, klien menandatangani lalu membalas payment-submitted, dan setelah merchant menyelesaikan settlement on-chain ia membalas payment-completed.

Jumlah transaksi x402 terutama berasal dari volume buatan. Chainalysis mencatat transaksi x402 di jaringan Base secara kumulatif melampaui 100 juta hingga kuartal pertama 2026, tetapi lonjakan pada kuartal keempat 2025 “sebagian besar didorong oleh meme coin farming”, dan retensi mingguan turun dari 87% menjadi 5%. Coinbase pada akhir April 2026 mengklaim sekitar 165 juta transaksi dengan nilai kumulatif sekitar 50 juta dolar AS; ini klaim vendor. Artemis menilai lebih dari 95% merupakan sinyal protokol atau pengujian, dan situs pelacak lain memperkirakan nilai niaga riil sekitar 28 ribu dolar AS per hari.

Praktik nyata jaringan kartu dan platform adalah “menerima banyak protokol, dengan autentikasi kuat saat manusia hadir sebagai katup pengaman”. Pada Maret 2026, OpenAI mengembalikan Instant Checkout di dalam ChatGPT ke model Apps milik merchant; menurut juru bicaranya, “Instant Checkout is moving to Apps”. Visa pada 2026-07-02 mengumumkan bahwa di Eropa sudah ada agen yang benar-benar menyelesaikan pembelian, dengan lebih dari 30 bank penerbit mitra, dan semua transaksi memakai Payment Passkeys untuk memenuhi autentikasi pelanggan yang kuat (SCA). Kerangka tanggung jawab masih kosong: Chargebacks911 memperingatkan bahwa infrastruktur sengketa dan tanggung jawab “largely unaddressed”; Taylor Wessing menganalisis bahwa di bawah kerangka Uni Eropa, pembelian oleh agen yang melampaui ketentuan pelanggan pada prinsipnya akan dianggap transaksi tidak sah; Ant International, Visa, dan Mastercard baru mulai menjajaki kerangka interoperabilitas Know-Your-Agent pada 2026-09-10. PSD3 / PSR Uni Eropa saat ini baru sampai posisi bacaan pertama yang disetujui Dewan pada 2026-10-29, belum dimuat di Official Journal, dan penelusuran kata kunci pada memorandum penjelasan PSR dari Dewan tidak menemukan ketentuan tentang AI atau agen otonom; CFPB Amerika Serikat juga belum memiliki panduan pembayaran oleh agen.

Riset akademis menunjukkan titik buta lainnya. Debi dkk. (IEEE IMNS 2026) melakukan uji red team terhadap agen belanja AP2: prompt injection tidak langsung maupun langsung dapat memanipulasi urutan produk dan mengeluarkan data sensitif pengguna, yang menunjukkan bahwa mandate bertanda tangan tidak melindungi proses penalaran sebelum penandatanganan; Jiang dkk. (arXiv:2609.00060) memakai Tamarin untuk analisis formal x402, MPP, ACP, dan AP2, dan menunjukkan ketergantungan keamanan yang muncul karena niat, kewenangan delegasi, dan settlement tersebar di banyak pihak. Agentifikasi di industri logistik saat ini berjalan lewat MCP: server MCP Flexport memungkinkan asisten AI pelanggan memesan pengiriman dengan tarif yang telah disepakati dan memperoleh booking ID. Catatan riset tidak menemukan contoh apa pun penyelesaian ongkos kirim melalui AP2 atau x402.

Siaran pers ulang tahun pertama Linux Foundation pada 2026-04-09 menyatakan A2A memiliki lebih dari 150 organisasi pendukung serta penerapan produksi di rantai pasok, keuangan, asuransi, dan operasi TI; ini termasuk klaim vendor: siaran pers tidak menyebut nama pengguna mana pun dan tidak memberikan indikator proses maupun hasil. Artikel .NET Microsoft Agent Framework dan codelab concierge pengadaan Google, yang paling sering dijadikan contoh, keduanya merupakan contoh kode, bukan laporan penerapan. Tyson Foods sering dipromosikan sebagai kasus rantai pasok A2A, tetapi apis.io memberi Agent Card A2A-nya skor 0/8, dan yang ia sediakan bagi mitra dagang tetap EDI dan API.

Bantahan paling langsung datang dari pengujian nyata. Seorang penulis pada April 2026 mengambil 50 agen yang mengklaim mendukung A2A dari registri publik; hanya sekitar 0–2 yang menyediakan kartu valid di path well-known, dan 0 yang merespons task dengan benar. Penulis yang sama pada 2026-09-09 mengirim 24 permintaan ke 12 organisasi dan pada 2026-10-27 mengirim 36 permintaan ke 18 organisasi, dan keduanya menghasilkan 0 kartu. Sampel dipilih sendiri oleh penulis dan bukan sensus, tetapi arahnya konsisten. Yang benar-benar berjalan adalah interoperabilitas di dalam satu platform cloud: AWS AgentCore, Microsoft Foundry, Google Agent Registry.

Bukti empiris tentang arsitektur multi-agen itu sendiri juga tidak menguntungkan A2A lintas organisasi. MAST (NeurIPS 2025 Datasets & Benchmarks Track) menganalisis 1.642 jejak eksekusi dan merumuskan 14 mode kegagalan dalam tiga kategori besar: desain sistem, ketidakselarasan antaragen, dan verifikasi tugas; tingkat kegagalan 7 sistem multi-agen open source tercanggih dalam makalah itu berkisar 41%–86,7% (penulis mengingatkan bahwa benchmark yang berbeda tidak dapat dibandingkan langsung). “Towards a Science of Scaling Agent Systems” oleh penulis dari Google Research, MIT, dan lainnya menguji 180 konfigurasi pada v1 / v2 dan versi blog Google: kesalahan pada multi-agen independen membesar 17,2 kali, pada model koordinasi terpusat 4,4 kali, dan pada tugas penalaran sekuensial semua varian multi-agen menurun 39%–70%; v3 pada 2026-04-08 diperluas menjadi 260 konfigurasi dan 6 benchmark, dengan tetap mempertahankan kesimpulan 17,2 kali dan 4,4 kali. Blog teknik Anthropic (bukan makalah tertelaah sejawat) menjelaskan bahwa sistem riset multi-agennya 90,2% lebih baik daripada Claude Opus 4 agen tunggal, tetapi pemakaian token sekitar 15 kali lipat percakapan biasa, dan menyebut bahwa domain yang “membutuhkan semua agen berbagi konteks yang sama, atau memiliki banyak ketergantungan antaragen” tidak cocok. A2A lintas organisasi justru menghimpun semua kondisi yang tidak menguntungkan ini: kedua pihak tidak berbagi konteks, tidak ada verifikator bersama, dan alur niaga (cek harga→pesan→bayar→kirim) bersifat sekuensial; ini inferensi.

Kekosongan di sisi rekayasa bahkan lebih banyak daripada di sisi spesifikasi. Saat A2A mendelegasikan ke agen berikutnya, trace terputus: Python SDK hanya membuat span lokal dan tidak ada cara standar untuk meneruskan W3C Trace Context antaragen (Issue #2103). SDK Rust komunitas melaporkan 7 kegagalan TCK, yang setelah dicocokkan dinilai sebagai cacat pada test suite itu sendiri; laporan yang sama menyebut SDK JS, Go, dan Java lulus 21/21 pada kedua binding. Lalu lintas agen di sisi konsumen juga masih kecil: HUMAN Security mencatat lalu lintas agen pada 2025 tumbuh 7.851% per tahun, tetapi hanya 2,3% terjadi di halaman checkout; sumber sekunder yang mengutip data Cloudflare Radar Agustus 2026 menyebut bot AI sekitar 7% dari permintaan HTML, dan dari jumlah itu “tindakan real-time atas nama pengguna” hanya 5,8%; hasil kali keduanya sekitar 0,4%, dan perkalian ini merupakan inferensi yang belum dikonfirmasi dengan data asli. Akamai memperingatkan bahwa situs e-commerce hanya memantau lebih dari 90% bot AI, sementara aktivitas agen penipuan meningkat. Catatan riset tidak menemukan bukti bahwa agen pribadi seperti ChatGPT, Gemini, atau Claude memanggil agen perusahaan umum melalui A2A, tetapi ini hanya ketiadaan bukti, bukan konfirmasi resmi.

Wawancara oleh pemerintah dan organisasi internasional menunjukkan bahwa kebutuhannya nyata. OECD Artificial Intelligence Papers No. 65 halaman 16 mencatat bahwa praktisi yang diwawancarai lebih menyukai protokol terbuka dan menyebut protokol komunikasi agen-ke-agen seperti A2A sebagai pendorong penting koordinasi multi-agen, sekaligus khawatir terkunci dalam ekosistem satu vendor.

Taiwan: Undang-Undang Dasar AI terdiri dari 20 pasal; Pasal 3 mendefinisikan kecerdasan buatan sebagai “sistem dengan kemampuan beroperasi secara otonom”, yang dapat mencakup agen AI, tetapi kata “agen” tidak muncul dalam teks pasalnya; Pasal 4 mencantumkan tujuh prinsip utama, termasuk otonomi dan pengawasan manusia, transparansi dan keterjelasan, serta akuntabilitas; Pasal 16 menugaskan Kementerian Urusan Digital mendorong kerangka klasifikasi risiko yang selaras dengan standar internasional; Pasal 17 mewajibkan pemerintah menetapkan atribusi tanggung jawab dan syarat pertanggungjawaban AI berisiko tinggi, serta membangun mekanisme pemulihan, kompensasi, atau asuransi; Pasal 18 mewajibkan setiap instansi menyelesaikan penyesuaian regulasi terkait dalam dua tahun setelah berlaku. Berdasarkan Pasal 16, Kementerian Urusan Digital pada 115-07-07 mengumumkan Kerangka Klasifikasi Risiko AI v1.0 (nomor surat Strategi Digital No. 1150015933, berlaku sejak hari itu), yang pada jenis risiko B6 “tindakan agen AI otonom di luar otorisasi” menyatakan: “Sistem multi-agen lebih mungkin, karena agen saling memicu, menimbulkan reaksi berantai yang tidak diantisipasi pengembang maupun pengguna, sehingga manusia sulit melakukan intervensi dan koreksi tepat waktu.” Pedoman AI generatif untuk fasilitas layanan kesehatan yang diterbitkan Kementerian Kesehatan dan Kesejahteraan pada 115-05-29 secara tegas menyatakan bahwa sistem agen AI “belum termasuk objek yang diatur pedoman ini”.

Undang-undang Taiwan yang sudah ada juga berlaku untuk skenario agen. Pasal 4 Undang-Undang Perlindungan Data Pribadi menetapkan bahwa pihak yang dikuasakan untuk mengumpulkan, memproses, atau menggunakan data pribadi, dalam lingkup undang-undang ini, dianggap sama dengan instansi pemberi kuasa; karena itu menyerahkan data pribadi untuk diproses agen tidak membebaskan tanggung jawab dengan alasan “yang mengerjakan adalah AI”; Pasal 21 mengatur pembatasan transfer internasional. Perlu dicatat bahwa sejumlah pasal yang diamendemen pada 114-11-11 (termasuk versi baru Pasal 21 dan Pasal 20-1 yang ditambahkan) sudah diundangkan tetapi belum berlaku, dan tanggal berlakunya ditetapkan oleh Executive Yuan. Undang-Undang Tanda Tangan Elektronik tidak menyebut AI atau agen; apakah tanda tangan yang dibuat agen atas nama seseorang dapat dianggap sebagai tanda tangan orang itu sendiri tidak diatur secara tegas, dan artikel ini tidak dapat memastikannya.

Tiongkok: State Administration for Market Regulation dan Standardization Administration of China, melalui Pengumuman Standar Nasional Tahun 2026 No. 22, pada 2026-05-22 menyetujui dan menerbitkan seri GB/Z 185.1～185.7-2026 “Kecerdasan Buatan – Interkoneksi Agen Cerdas” yang terdiri dari 7 dokumen teknis panduan (arsitektur umum, kode identitas, manajemen identitas, deskripsi agen, penemuan agen, interaksi agen, pemanggilan tool oleh agen); platform layanan publik informasi standar nasional menandai statusnya sebagai “berlaku”, teks lengkapnya dipublikasikan pada 2026-06-18, dan State Administration for Market Regulation juga menggelar konferensi pers tematik pada 2026-06-26. Nama protokol yang dipakai dokumen resmi adalah AIP (Agent Interconnection Protocol), dan halaman resmi yang ditemukan tidak menyebut A2A maupun MCP; apakah keduanya kompatibel belum terbukti. “Pendapat Pelaksanaan tentang Penerapan Terstandar dan Pengembangan Inovatif Agen Cerdas” yang diterbitkan bersama oleh Cyberspace Administration of China, National Development and Reform Commission, dan Ministry of Industry and Information Technology pada 2026-05-08 mengikat promosi AIP, platform registrasi agen, dan identitas digital agen menjadi satu paket, serta mensyaratkan bahwa “operasi yang dijalankan agen tidak boleh melampaui cakupan otorisasi pengguna”. Jalur ini berbeda dengan sikap komunitas A2A bahwa “tidak ada registri resmi”.

Uni Eropa: AI Act (Regulation (EU) 2024/1689) berlaku pada 2024-08-01; kewajiban untuk model AI tujuan umum berlaku sejak 2025-08-02, sedangkan penerapan umum dan kewajiban transparansi sejak 2026-08-02; kewajiban risiko tinggi telah ditunda oleh Regulation (EU) 2026/1744 (dimuat di Official Journal pada 2026-07-24), dengan Lampiran III ditunda hingga 2027-12-02 dan Lampiran I hingga 2028-08-02. PSD3 dan PSR baru mencapai posisi bacaan pertama yang disetujui Dewan pada 2026-10-29, masih menunggu bacaan kedua Parlemen Eropa, dan belum dimuat di Official Journal.

Amerika Serikat, Singapura, Inggris: CISA, NSA, dan lembaga Five Eyes lainnya pada 2026-04-30 / 05-01 menerbitkan “Careful Adoption of Agentic AI Services”, yang menyarankan pembatasan hak akses dan memulai dari kasus penggunaan berisiko rendah dan tidak sensitif; CFPB Amerika Serikat tidak memiliki panduan khusus pembayaran oleh agen, dan usulan aturan interpretatif terkait pada 2025 sudah ditarik pada 2025-05-15. “Model AI Governance Framework for Agentic AI” v1.5 dari IMDA Singapura (diterbitkan 2026-05-20, diperbarui 06-05) pada bagian 1.1.1 secara langsung menyebut A2A untuk komunikasi antaragen dan MCP untuk komunikasi agen dengan tool, serta menunjukkan bahwa delegasi rekursif dan identitas lintas organisasi merupakan celah saat ini. Panduan CMA Inggris yang diterbitkan 2026-03-09 (diperbarui 10-30) menyatakan “if an AI agent you use does something illegal, you are responsible”, artinya pelaku usaha bertanggung jawab atas pelanggaran hukum oleh agen yang mereka gunakan; konsultasi publik ICO Inggris tentang AI agentik ditutup pada 2026-11-20.

Issue #1942 menggabungkan 41 isu menjadi delapan tema v1.1, sedangkan memori agen lintas tugas (#893) tidak termasuk dalam cakupan pelacakan. Yang lebih menunjukkan arah daripada daftar tema adalah isu dengan komentar terbanyak: #1672 verifikasi identitas agen pada Agent Card (sekitar 658 komentar), #1829 tanda tangan pesan dengan Ed25519 dan RFC 9421, #2028 delegasi actor-chain, #2121 penerusan biaya dan anggaran, serta #1815 memakai HTTP 402 untuk menyatakan “pembayaran diperlukan”. Semua ini adalah masalah kepercayaan dan niaga; ditambah proses tata kelola extension yang baru dibentuk, catatan riset menilai isu-isu ini lebih mungkin muncul sebagai ekstensi daripada sebagai perubahan spesifikasi inti; ini inferensi.

Pertanyaan “bagaimana agen pribadi menemukan agen perusahaan” saat ini belum memiliki jawaban terbuka yang sudah diterapkan. Dokumentasi resmi A2A menyatakan dengan jelas bahwa registri terkurasi berada di luar cakupan A2A; usulan Agent Registry di Discussion #741 sudah lama tertunda, dan peninjau mempertanyakan premis “penyedia mengelola sendiri entri pendaftarannya”. Untuk menemukan agen dari domain, IETF memiliki empat draf individual yang saling bersaing: DNS-AID (memakai record SVCB yang menunjuk ke /.well-known/agent-card.json), AID (membaca record TXT _agent), ADP, dan DAN, yang semuanya belum diadopsi kelompok kerja; draf landscape pada Juli 2026 juga menyebut bahwa namespace perlu dikoordinasikan. Di sisi MCP, MCP Registry sejak September 2025 hingga kini masih berstatus pratinjau.

Audit dan tanggung jawab lintas organisasi juga belum memiliki kerangka. Spesifikasi A2A hanya memuat persyaratan tingkat SHOULD untuk pencatatan kegagalan autentikasi dan pembatasan laju, sedangkan keterangan antarsumber tentang status stabil konvensi semantik OpenTelemetry GenAI saling bertentangan. Dengan tool yang ada, unit audit minimum yang dapat disimpan kira-kira: taskId dan contextId di sisi sendiri, sidik jari tanda tangan Agent Card pihak lawan, dan rantai delegasi act pada token yang ditunjukkan pihak lawan, yang disimpan masing-masing pihak untuk rekonsiliasi di kemudian hari; ini inferensi. Catatan riset juga tidak menemukan riset empiris denial-of-wallet yang bertujuan “menghabiskan anggaran LLM pihak lawan”.

Kondisi A2A saat ini mirip HTTP di masa awal: formatnya sudah distandarkan, tetapi lapisan kepercayaan masih harus dilengkapi masing-masing; bedanya, kali ini pihak yang dipanggil bernalar sendiri dan bahkan bisa dibujuk oleh pihak lawan. Karena itu hambatannya bukan pada rekayasa, melainkan pada “siapa yang bertanggung jawab atas tindakan agen”, dan hal ini saat ini tersebar di tangan IETF (identitas), FIDO Alliance (niat pembayaran), jaringan kartu (sengketa), dan regulator berbagai negara, di luar jangkauan TSC A2A. Dari sini disimpulkan bahwa dalam beberapa tahun ke depan, bentuk interoperabilitas agen lintas perusahaan yang paling mungkin adalah “cangkang A2A yang membungkus pemanggilan tool deterministik”: pihak yang dipanggil tampak sebagai agen, tetapi di dalamnya sebenarnya API, dan penalaran sesungguhnya hanya terjadi di dalam batas kepercayaan sendiri.

Arah panduan pemerintah sejalan dengan hal ini. CISA, NSA, dan lembaga Five Eyes lainnya menyarankan memulai dari kasus penggunaan berisiko rendah dan tidak sensitif serta membatasi hak akses; kerangka IMDA Singapura menempatkan “membuat manusia memikul tanggung jawab yang nyata” dan kontrol teknis sebagai aspek inti; Kementerian Urusan Digital Taiwan memasukkan reaksi berantai akibat agen yang saling memicu sebagai risiko B6; CMA Inggris secara tegas menyatakan pelaku usaha bertanggung jawab atas pelanggaran hukum oleh agen yang mereka gunakan.

Tabel di bawah mengelompokkan opsi adopsi bagi perusahaan umum berdasarkan kekuatan bukti. Dalam tabel, “Lakukan” berarti risikonya rendah dan manfaatnya jelas berdasarkan bukti yang ada; “Boleh dilakukan” berarti biayanya rendah tetapi belum ada kasus terukur; “Tunda” dan “Jangan lakukan” disertai alasannya, dan dievaluasi ulang ketika kondisi pemicu muncul.

Kueri inti e-commerce lintas batas dan logistik — berapa ongkos kirimnya, berapa pajaknya, apa nomor klasifikasi tarif dan ketentuan impor untuk barang ini — pada dasarnya adalah perhitungan deterministik, justru jenis layanan yang paling dibutuhkan agen eksternal dan paling kecil kemungkinan salahnya. Pengalaman dari blog teknik Anthropic menunjukkan bahwa menulis ulang deskripsi tool memangkas waktu penyelesaian tugas agen berikutnya sebesar 40%; pengalaman OpenAI mengembalikan Instant Checkout ke Apps milik merchant menunjukkan bahwa transaksi pada akhirnya kembali ke alur milik merchant sendiri. Maka urutan persiapan pelaku usaha sebaiknya: pertama, pastikan halaman web dan data terstruktur dapat dibaca; lalu jadikan tool deterministik sebagai MCP; sertakan URL lanjutan dalam respons tool untuk mengarahkan transaksi kembali ke alur sendiri; baru terakhir mempertimbangkan placeholder A2A.

Kartu placeholder A2A artinya menerbitkan sebuah kartu di /.well-known/agent-card.json yang skill-nya dipetakan ke tool deterministik yang sudah ada, seperti penawaran harga, pajak, dan alur proses, dengan backend yang langsung memanggil program tanpa menjalankan LLM. Pendekatan ini murah dan bernilai sebagai “opsi”, tetapi saat ini belum ada kasus terukur UKM yang memperoleh lalu lintas atau pendapatan karenanya; ini inferensi. Jika benar-benar ingin membuka endpoint A2A, setidaknya: hanya buka skill read-only, jangan memercayai kolom apa pun dari kartu pihak lawan, tolak IP privat pada URL push, dan catat taskId, contextId, identitas pemanggil, serta traceparent.

Pendekatan HowBridge saat ini (semuanya dapat diverifikasi di halaman pengembang HowBridge): HowBridge menyediakan MCP publik tanpa API key dan tanpa OAuth (https://0523.tw/mcp/public) yang berisi 8 tool read-only dan idempoten, mencakup pengenalan merek dan layanan HowBridge, simulasi ongkos kirim pengiriman konsolidasi Tiongkok→Taiwan (Sea Express / kargo udara), simulasi pajak impor Taiwan, pencarian kandidat klasifikasi tarif CCC dari nama barang, tarif dan ketentuan impor per kode CCC, biaya kelebihan ukuran untuk pengantaran domestik Taiwan, serta alur pengiriman konsolidasi dan ketentuan deklarasi sederhana; batasnya 120 kali per menit per IP, dan sudah terdaftar di MCP Registry resmi (nama tw.0523/lucky-public); respons simulasi ongkos kirim menyertakan URL lanjutan (continue_url) agar pengguna kembali ke situs resmi untuk melanjutkan. MCP anggota (https://0523.tw/mcp) memakai otorisasi OAuth 2.1 dan menyediakan 6 tool read-only yang hanya dapat membaca tagihan, paket, pra-pemberitahuan kiriman, nota pajak, dan dokumen deklarasi impor milik anggota yang memberi otorisasi, dengan batas default 60 kali per menit dan 5.000 kali per hari. Halaman pengembang HowBridge saat ini mencantumkan API data anggota, MCP anggota, dan MCP publik, tanpa endpoint A2A; artikel ini tidak menyatakan bahwa HowBridge sudah mendukung A2A.

Jika Anda ingin asisten AI membantu memperkirakan biaya pengiriman dari Tiongkok ke Taiwan, Anda dapat langsung memakai simulasi ongkos kirim konsolidasi, kalkulator bea masuk, dan pencarian klasifikasi tarif versi web; tool tersebut dan MCP publik memakai logika perhitungan yang sama. Simulasi hanya sebagai referensi: ongkos kirim mengacu pada tagihan setelah pengukuran di gudang, dan pajak mengacu pada penetapan bea cukai.