什么是工具调用？AI 模型如何将决策转化为行动

工具调用是一种机制，AI 模型借此可以通过结构化参数请求调用特定函数或使用外部能力。它能将模型的决策转化为机器可读的操作，让软件执行搜索、计算、检索记录、运行代码或更新其他系统，而不必让模型用文字描述来模拟这些操作。

工具调用是现代 AI 智能体的基础。模型可以推理该采取什么行动，但周边应用程序负责控制所请求的操作是否有效、是否获得授权、是否执行，以及是否将执行结果返回给模型，以便模型做出下一步决策。

模型为何需要工具

语言模型有一些重要局限：它通过训练学到的知识有截止时间，并非所有计算都能可靠完成；它不会自动掌握私有数据或实时数据；单靠生成文本也无法影响软件系统。

工具可以为模型扩展以下能力：

• 搜索当前信息；
• 查询数据库或知识库；
• 运行代码或执行精确计算；
• 读取和写入文件；
• 创建工单、事件、消息或交易；
• 操作浏览器或其他用户界面。

工具并不会让模型本身变得更有知识。它为应用程序提供了一种受控方式，用于获取证据或执行操作。

工具定义的组成

工具描述应说明选择该工具的适用条件和不适用条件。“搜索记录”这样的描述不够明确，因为模型无法判断它搜索的是客户、文档还是公共网络。“按公司名称或账户 ID 搜索已获批准的客户账户；不得用于一般网络搜索”则为模型划定了明确、可用的边界。

应用程序会以结构化形式描述每个可用工具。工具定义通常包含：

• 名称：稳定的标识符，例如 get_weather 或 create_support_ticket.
• 描述：准确说明工具的功能以及应在何时使用。
• 输入架构：必填和选填参数、各自的数据类型以及允许的取值。
• 输出约定：说明应用程序将返回的结果或错误状态。

许多工具接口采用 JSON 架构或相关的类型化表示。范围明确、含义清晰的架构可以降低模型臆造参数或组合不兼容选项的可能性。

工具调用循环如何运作

设想一位用户询问：“我下周二在曼彻斯特有会议吗？那天会下雨吗？”

1. 应用程序提供上下文。它会将用户请求、系统指令和选定工具的定义发送给模型。
2. 模型选择一项工具。它可能会请求查询日历，并指定日期范围和地点筛选条件。
3. 应用程序会验证请求。它会检查工具名称、必需参数、权限范围和业务规则。
4. 运行时执行工具。它会调用日历系统，并返回符合条件的事件或明确的错误信息。
5. 模型查看结果。它发现曼彻斯特有一场会议，于是请求调用天气工具查询该城市在相应日期的天气。
6. 应用程序会重复检查并执行操作。
7. 模型生成最终答案。它会整合经过验证的结果，并列出相关细节。

模型提出调用请求；应用程序执行调用。这一边界是理解工具使用时最重要的事实之一。安全的运行时绝不会将模型输出视为已获授权的代码。

工具选择可以自动进行，也可以受到限制

应用程序可以允许模型自行判断是否需要使用工具、要求使用特定工具、将选择范围限制在部分工具内，或禁止在某次响应中使用工具。这些选项适用于不同的工作流程。

自动选择适用于灵活的助手。对于结构化提取等任务，强制选择工具会很有帮助，因为每个请求都应通过特定函数处理。限制可用工具的范围可以减少混淆和风险：读取发票的步骤无需访问发送电子邮件的工具。

工具调用与结构化输出

这两项功能都会要求模型生成符合某种模式的数据，但用途各不相同。

结构化输出会将模型的回答整理成应用程序所需的格式，例如提取产品名称、数量和风险分类。工具调用则会请求应用程序执行某项操作并返回结果。

结构化结果可能会结束交互。工具调用通常会开启一个循环：请求、执行、观察，然后再次做出判断。

工具调用与 API

API 是软件用于与其他系统通信的接口。工具调用则是面向模型的决策层，用于选择操作并提供参数。工具的实现通常会封装 API，但也可以封装数据库查询、本地函数、命令行程序或用户界面操作。

优秀的工具很少会直接开放整个复杂 API。它们提供面向任务的操作，语义清晰、权限范围有限，且返回结果便于模型理解。与可以调用任意端点的通用请求工具相比，带有经过验证的政策输入的“退款订单”工具更安全，也更易使用。

优秀的 AI 工具应具备哪些特点？

用途明确。名称和描述应能将该工具与类似功能区分开来。功能重叠的工具会导致选择不一致。

输入简洁且类型明确。必填字段应明确列出，受限取值应尽可能采用枚举。避免要求模型构造庞大而脆弱的载荷。

输出实用。返回的信息应足以支持下一步判断，包括稳定标识符，以及明确的成功或失败状态。不要用看似友好的消息掩盖部分失败。

尽可能保证幂等性。重试读取操作通常是安全的；重试付款或发送消息则可能导致操作重复。影响重大的工具应使用幂等键或其他防护措施。

权限范围尽可能窄。只读搜索工具不应继承写入权限。凭据和授权应由运行时管理，而不是写进提示中。

工具调用中的常见故障

重试需要有专门的策略。重试只读搜索可能无伤大雅；但重试付款或发送消息的工具，可能会重复执行不可逆操作。幂等键、交易标识符和明确的确认状态，可以让运行时判断首次尝试究竟是失败了，还是只是未能返回响应。

• 工具选择错误：模型选中了描述相似的功能。
• 参数无效：缺少必填字段、字段格式错误，或字段在语义上不可能成立。
• 虚构结果：模型没有等待观察结果，就仿佛工具已成功执行那样作答。
• 错误含义不明确：工具返回空输出，模型却将其视为“未找到记录”。
• 不安全的工具链调用：一个工具返回的不可信内容诱使模型不当地调用另一个工具。
• 副作用重复：首次操作已经成功，超时却触发了重试。
• 工具过载：无关定义过多会降低选择准确率并占用上下文。

权限与人工审批

可以按照风险对工具进行分组。只读检索可以在有限的数据范围内自动执行。可撤销的草稿或拟议变更可以在记录日志的情况下执行。涉及外部事务、财务、破坏性操作或法律效力的行动通常应设置审批环节。

审批必须建立在充分知情的基础上。确认界面应显示具体操作、目标、重要参数以及可能造成的后果。如果工具将向 5,000 名收件人发送电子邮件或删除生产环境资源，仅显示“允许使用工具？”是不够的。

OpenAI 关于构建智能体的工具的概述强调，工具使用应纳入具备追踪和可观测性的智能体平台。配套控制并非可有可无的附加功能；正是这些控制让模型选择的操作能够安全、可靠地执行。

如何评估工具使用情况

应分别评估工具选择、参数、执行、结果解读以及最终任务是否成功。模型可能选对了工具，却填错字段；也可能收到正确结果，却得出错误结论。记录完整调用轨迹有助于识别这些不同类型的失败，避免看似出色的最终答案掩盖不安全或浪费资源的行为。

即使智能体采用了低效或不安全的路径，最终答案看起来也可能正确。因此，评估既应衡量结果，也应考察执行过程。

实用指标包括工具选择准确率、参数有效性、任务完成情况、调用次数、延迟、成本、错误恢复能力、不必要的敏感数据访问、重复副作用，以及对审批规则的遵守情况。由于模型行为可能有所不同，应进行多次试验。

如何阅读工具调用示意图

阅读工具调用示意图时，应从带编号的输入开始，沿着流程看到可观察的结果。对比图明确标出了工具调用与最接近的捷径之间的区别；控制路径则指出，在产生现实后果之前，必须在哪些环节核查权限或不确定性。这些标签仍是页面上的普通响应式文本，因此可以翻译，并能在手机屏幕上换行和重新排布。

对于《什么是工具调用？AI 模型如何将决策转化为行动》，这张示意图是一幅路线图，而非保证。实际实现可能会合并不同阶段、重复某个步骤，或加入人工审批环节。关键在于，团队能否在已部署的系统中识别出相同的功能，为每个环节指定负责人，并测试环节之间的转换。如果某个阶段无法观察或衡量，该阶段出现的问题就很难诊断。

关于工具调用，需要记住什么

工具调用是连接模型判断与软件操作的桥梁。模型识别可用功能并提出结构化输入；应用程序则负责验证、授权和执行操作，并返回观察结果。

设计良好的工具能让 AI 系统获取更新的信息、具备更强的能力并发挥更大作用。设计不佳的工具则会让普通的模型错误造成外部后果。真正关键的工程工作在于模式定义、权限、错误处理、可观测性，以及执行过程中的各项边界控制。