Протоколы ИИ-агентов: как MCP и A2A учат агентов работать и платить

Агент без протокола — это модель, которая умеет рассуждать, но не умеет ничего делать за пределами своего чата. Протоколы ИИ-агентов решают три разные задачи: как агент достаёт инструмент, как агент говорит с другим агентом и как он платит за результат. Под «протоколами агентов» в поиске чаще всего имеют в виду первые два слоя — MCP и A2A. Третий, платёжный, только складывается. Разберу все три по порядку: что уже работает, что измерено в реальных тестах и что стоит брать в свой продукт уже сейчас.

Зачем агентам протоколы

До протоколов у каждого разработчика была своя пара рук для каждой связки «модель плюс инструмент»: отдельный коннектор для базы данных, отдельный для почты, отдельный для корпоративного API. Анthropic в своём описании MCP называет это проблемой «N×M» — N моделей умножить на M источников данных, и для каждой пары нужен свой код. Протокол превращает эту сетку связей в один общий язык: инструмент один раз описывает себя по стандарту, а любая модель, которая умеет читать этот стандарт, уже умеет его вызывать. Идея не новая — MCP прямо наследует схему обмена сообщениями у Language Server Protocol, того самого, который когда-то решил такую же задачу для редакторов кода и языков программирования.

Инструменты

MCP — Model Context Protocol — Anthropic представила в ноябре 2024 года как открытый стандарт для подключения ИИ к файлам, базам и внешним функциям. Схема простая: агент-хост обращается к MCP-клиенту, клиент говорит с MCP-сервером, сервер отдаёт список инструментов и форматы вызова, а результат возвращается обратно в диалог с моделью. Общаются все по JSON-RPC 2.0. В марте 2025 протокол подхватил OpenAI, затем Google DeepMind, а в декабре 2025 Anthropic передала MCP в Agentic AI Foundation — фонд при Linux Foundation, который вместе с Anthropic создали Block и сам OpenAI. К середине 2026 года в продакшене работало больше 10 000 MCP-серверов, а SDK протокола скачивали свыше 97 миллионов раз в месяц; Salesforce, подключив через MCP свою платформу Headless 360, к концу мая обработала 4,5 миллиона вызовов.

Но подключить инструмент по протоколу — не то же самое, что агент этим инструментом хорошо пользуется. Бенчмарк GeoNatureAgent собрал MCP-сервер из 16 геопространственных инструментов и прогнал через него девять моделей на 103 задачах. Claude Sonnet 4 решил 61,7% задач, DeepSeek V3.2 — 57,9%, и больше ни одна модель не перешагнула 53%.

При этом DeepSeek V3.2 выдал 93% от возможностей Claude при цене в 11,3 раза ниже по прайс-листу — для продукта, где важна не максимальная точность, а стоимость каждого вызова, это рабочий компромисс.

28 июля 2026 года протокол пережил самую крупную ревизию с момента добавления авторизации, как её описал один из создателей MCP Дэвид Сория Парра. MCP стал бессерверным на уровне протокола: версия, идентичность клиента и его возможности теперь передаются в параметре _meta с каждым запросом, а не живут в сессии. Из базового протокола убрали ряд функций — сэмплинг и roots работают ещё минимум год, но помечены устаревшими, а Tasks для долгих операций вынесли в отдельное расширение. Часть изменений не совместима со старыми клиентами назад.

Агент с агентом

A2A — отдельный открытый протокол именно для связи агента с агентом, не с инструментом. Рядом с ним появился NLIP, протокол натурально-языкового взаимодействия, который до недавнего времени никто не тестировал в контролируемых условиях. Свежий бенчмарк сравнил их по задержке на трёх разных железных конфигурациях, разбив время на создание сообщения, установку соединения и отправку. Для лёгкой координации NLIP оказался быстрее базовой SDK-реализации A2A в 8,4–9,6 раза на двух средах и примерно в 4 раза на третьей. Разница почти целиком живёт в установке соединения.

Когда авторы включили кэширование соединений в A2A SDK, разрыв сократился — от 2,75 раза на одной машине до почти полного паритета на быстром железе. А против более оптимизированной реализации Python-A2A NLIP всё равно держит преимущество около 4 раз на той же стадии. На полном пайплайне, где время съедает инференс самой модели, протоколы почти не отличаются — разница в транспорте там просто теряется на фоне работы ИИ.

Связь агента с агентом открывает и проблему доверия. Издание Ars Technica прямо называет механизм агент-агент-коммуникации в MCP самым рискованным протоколом, о котором никто не слышал: структурный изъян позволяет вредоносным подсказкам переходить от одного агента к другому. Ещё в апреле 2025 года Invariant Labs описала атаки отравления инструментов — вредоносная инструкция прячется в описании инструмента, которое модель читает, а пользователь не видит.

У самого MCP находили и критические дыры в реализациях: CVE-2025-6514 в mcp-remote (CVSS 9,6) позволял вредоносному серверу выполнять произвольные команды на машине пользователя — затронуты версии 0.0.5–0.1.15, исправлено в 0.1.16. У MCP Inspector нашли CVE-2025-49596: инструмент по умолчанию не требовал авторизации, и через него можно было выполнить код на компьютере жертвы. В мае 2026 года американское Агентство национальной безопасности отметило, что скорость распространения MCP обогнала развитие его модели безопасности. Спецификация в ответ добавила обязательные требования OAuth 2.1 и явно запретила передачу токена дальше по цепочке проксирования.

Платежи

Вот где слой протоколов заканчивается, а экономика агентов только начинается. MCP даёт агенту руки — доступ к инструментам. A2A даёт агенту язык — связь с другим агентом. Чтобы агент мог платить другому агенту за работу, нужен третий слой: цифровое удостоверение, за которым стоит человек или бизнес, набор прав, которые это удостоверение разрешает, и жёсткий лимит того, что агент может потратить без одобрения. Готового общего стандарта на этот слой в источниках, которые я видел, пока нет — и я не буду называть то, чего не проверял.

Я считаю, что через пару лет этот слой станет такой же нормой, как сейчас MCP. Логика та же, что уже отработана в MCP и A2A: агент должен доказать, кто он, прежде чем ему доверят кошелёк, а не наоборот. Пока этого слоя нет, деньги в любой цепочке агентов всё равно проходят через человека с картой — а значит, автоматизация обрывается именно на оплате.

Что выбрать для своего продукта

Для доступа агента к инструментам сегодня нет другого разумного выбора кроме MCP — у него готовые SDK на Python, TypeScript, C# и Java, тысячи готовых серверов и поддержка во всех крупных ИИ-продуктах. Из модели для самого агента я бы смотрел не только на точность, но и на цену за вызов — разрыв в 11 раз при разнице в точность на несколько процентов обычно решает в пользу более дешёвой модели.

Для связи между своими агентами: если задача — быстрая лёгкая координация без тяжёлого вызова модели, разница в разы в пользу NLIP реальна и измерена. Если важнее экосистема, готовые клиенты и совместимость с чужими агентами — берите A2A и обязательно включайте кэширование соединений, это закрывает почти весь разрыв в скорости.

По безопасности: обновляйте mcp-remote минимум до 0.1.16, не держите MCP Inspector без авторизации наружу и относитесь к описанию любого внешнего инструмента как к непроверенному тексту, который модель прочитает буквально. А для платёжного слоя, которого ещё нет как стандарта, можно начать прямо сейчас: заранее прописать агенту, что именно он может покупать и какой у него потолок трат, и логировать каждое решение. Это и есть то самое цифровое удостоверение, на котором будет держаться экономика агентов.

Вопросы и ответы

Что такое протокол ИИ-агента?

Это стандарт, по которому агент подключается к инструментам (MCP) или говорит с другим агентом (A2A, NLIP) без написания отдельного коннектора под каждую пару «модель — источник».

Чем A2A отличается от MCP?

MCP связывает агента с инструментом — базой, файлом, функцией. A2A и NLIP связывают агента с другим агентом. Это два разных слоя одной архитектуры, и продукту обычно нужны оба.

Безопасны ли протоколы ИИ-агентов?

У MCP уже находили критические уязвимости в реализациях и атаки отравления инструментов через скрытые инструкции в описаниях; спецификация ответила требованиями OAuth 2.1, но NSA прямо говорит, что рост протокола обогнал развитие его безопасности.

Источники

• The Cost of a Hop: Benchmarking NLIP and A2A
• GeoNatureAgent (GNA): A Framework and Benchmark for Pre-Production Evaluation of Tool-Using Agents on Geospatial and Environmental Tasks
• MCP for agent-to-agent comms may be the riskiest protocol you've never heard of
• Википедия: Model Context Protocol