MCP vs A2A vs ACP

Putting it together

Ghép tất cả lại

They compose. A user talks to an agent; that agent uses MCP to reach its own tools; when it hits work outside its scope, it uses A2A to delegate to a specialist peer; and that peer uses its own MCP servers to finish the job.

Chúng kết hợp được. Người dùng nói chuyện với một agent; agent đó dùng MCP để với tới tool của nó; khi gặp việc ngoài phạm vi, agent dùng A2A để giao việc cho một đồng cấp chuyên biệt; và đồng cấp đó lại dùng các MCP server của riêng nó để hoàn tất.

Quick comparison (as of 2026)

So sánh nhanh (tính đến 2026)

Bottom line: MCP = how does my agent use tools? A2A = how do agents work with each other? Build with MCP to give one agent reach; add A2A when many agents must collaborate.

Kết luận: MCP = agent của tôi dùng tool ra sao? A2A = các agent làm việc với nhau ra sao? Dùng MCP để cho một agent có "tầm với"; thêm A2A khi cần nhiều agent cộng tác.

Which one do I need? — 30-second decision treeCần cái nào? — Cây quyết định 30 giây

What are you connecting?
├─ Agent → tool, API, database, files?
│   └─▶ MCP  (local: stdio · remote: Streamable HTTP + OAuth)
├─ Agent → another agent someone else builds or runs?
│   └─▶ A2A  (publish an Agent Card, delegate tasks)
├─ Two "agents" in one codebase, same team, same process?
│   └─▶ Neither yet: a function call or a sub-agent is enough
├─ Someone says "ACP"?
│   ├─ IBM/BeeAI Agent Communication Protocol ─▶ use A2A (merged)
│   ├─ Editor ↔ coding agent (Zed)             ─▶ Agent Client Protocol
│   └─ Agent buying things (OpenAI/Stripe)     ─▶ Agentic Commerce Protocol
└─ Both tools and peer agents?
    └─▶ MCP for each agent's tools + A2A between agents

Bạn đang nối cái gì?
├─ Agent → tool, API, database, file?
│   └─▶ MCP  (cục bộ: stdio · từ xa: Streamable HTTP + OAuth)
├─ Agent → agent khác do người khác xây hoặc vận hành?
│   └─▶ A2A  (công bố Agent Card, giao task)
├─ Hai "agent" trong cùng codebase, cùng team, cùng tiến trình?
│   └─▶ Chưa cần: một lời gọi hàm hoặc sub-agent là đủ
├─ Có người nhắc "ACP"?
│   ├─ Agent Communication Protocol (IBM/BeeAI) ─▶ dùng A2A (đã gộp)
│   ├─ Editor ↔ coding agent (Zed)              ─▶ Agent Client Protocol
│   └─ Agent đi mua hàng (OpenAI/Stripe)        ─▶ Agentic Commerce Protocol
└─ Cần cả tool lẫn agent đồng cấp?
    └─▶ MCP cho tool của từng agent + A2A giữa các agent

SecurityBảo mật

• Tool poisoning / prompt injection — the model reads every tool's description and output; a malicious server can hide instructions there. Treat third-party descriptions and results as untrusted input.
• Least privilege — read-only DB users, one repo not the whole org, narrow roots.
• OAuth 2.1 for remote servers — tokens scoped per server, no long-lived personal keys in config files.
• No auto-approve from untrusted servers — a human confirms anything that writes, spends or sends data out.
• Verify Agent Cards — a card is a claim, not proof: HTTPS, expected domain, check the declared auth.

• Tool poisoning / prompt injection — model đọc mô tả và đầu ra của mọi tool; server độc hại có thể giấu chỉ thị trong đó. Coi mô tả và kết quả từ bên thứ ba là đầu vào không đáng tin.
• Đặc quyền tối thiểu — tài khoản database chỉ đọc, một repo thay vì cả organization, roots hẹp.
• OAuth 2.1 cho server từ xa — token giới hạn theo từng server, không dán API key cá nhân dài hạn vào file cấu hình.
• Không tự động duyệt tool từ server lạ — luôn có người xác nhận mọi thao tác ghi dữ liệu, tiêu tiền hoặc gửi dữ liệu ra ngoài.
• Kiểm chứng Agent Card — card là lời tự khai, không phải bằng chứng: HTTPS, đúng domain, kiểm tra cơ chế xác thực nó khai báo.

Anti-patternsAnti-patterns

Pre-production checklistChecklist trước khi lên production

• Each connection is clearly MCP (agent → tool) or A2A (agent → agent).
• Remote MCP servers use Streamable HTTP and require OAuth 2.1.
• Every server runs with least privilege.
• Write / spend / send-out tools need human confirmation.
• Third-party servers reviewed and pinned to a version.
• Agent Cards fetched over HTTPS from allow-listed domains.
• A2A clients handle input-required, auth-required, failed, canceled, rejected.
• Tool calls and A2A tasks are logged.

• Mỗi kết nối rõ là MCP (agent → tool) hay A2A (agent → agent).
• MCP server từ xa dùng Streamable HTTP và bắt buộc OAuth 2.1.
• Mọi server chạy với đặc quyền tối thiểu.
• Tool ghi / tiêu tiền / gửi dữ liệu ra ngoài cần người xác nhận.
• Đã đọc kỹ server bên thứ ba và ghim phiên bản.
• Agent Card lấy qua HTTPS từ domain trong allow-list.
• Client A2A xử lý input-required, auth-required, failed, canceled, rejected.
• Tool call và task A2A đều được log.

What to read nextHọc tiếp

• Function Calling, MCP and the 2026-07-28 spec — how function calling and MCP fit, OAuth, and what the newest revision changed.
• Agent Harness — the loop around the model that calls MCP tools and decides when to delegate.
• Official specs: modelcontextprotocol.io · a2a-protocol.org.

• Function Calling, MCP và spec 2026-07-28 — function calling và MCP khớp với nhau thế nào, OAuth, và bản spec mới nhất thay đổi gì.
• Agent Harness — vòng điều khiển quanh model, nơi gọi MCP tool và quyết định khi nào giao việc.
• Spec chính thức: modelcontextprotocol.io · a2a-protocol.org.

Three things to rememberBa câu cần nhớ

1. MCP is vertical, A2A is horizontal. Real systems use both.
2. ACP (IBM) is now part of A2A. And "ACP" may also mean Zed's Agent Client Protocol or the Agentic Commerce Protocol.
3. Every server and Agent Card is untrusted until checked. Least privilege, OAuth, a human click before anything risky.

1. MCP là trục dọc, A2A là trục ngang. Hệ thống thực tế dùng cả hai.
2. ACP (IBM) giờ là một phần của A2A. Và "ACP" còn có thể là Agent Client Protocol của Zed hoặc Agentic Commerce Protocol.
3. Mọi server và Agent Card đều không đáng tin cho tới khi kiểm tra. Đặc quyền tối thiểu, OAuth, một người bấm xác nhận trước mọi thao tác rủi ro.