Tool Calling 是什么：AI Agent 调用外部工具的流程和安全边界
判断一个 Agent 有没有真正“能做事”，可以看一个问题：
它只能把事情说清楚，还是能把事情往前推进一步？
比如用户说：
帮我订明天上午 10 点的 3 号会议室。
普通聊天模型最多回答：
你可以去会议系统里预订。
这叫“回答”。
但带 Tool Calling 的 Agent，会先判断：
这个任务需要调用会议室预订工具，参数是：明天上午 10 点，3 号会议室。
注意，不是模型自己打开会议系统。
也不是模型直接操作数据库。
模型只是发出一个结构化的调用请求。
真正执行预订的，还是你的应用程序。
这就是 Tool Calling 最核心的边界：
模型负责提出请求，应用负责真正执行。
一、Tool Calling 是什么
Tool Calling 是一种让模型“请求调用外部工具”的机制。
一次典型流程是：
用户提出任务
→ 模型判断是否需要工具
→ 模型给出工具名和参数
→ 应用执行工具
→ 工具返回结果
→ 模型基于结果回答用户
这里的“工具”，可以是：
- 查询订单；
- 预订会议室；
- 创建工单；
- 发送邮件；
- 查询数据库；
- 调用某个业务接口。
只要应用把某个能力按规范暴露出来，模型就可以在需要时请求调用。
但有一点不能混：
Tool Calling 不是模型执行代码，而是模型生成“我要调用哪个工具、参数是什么”。
执行权不在模型手里。
执行权在应用手里。
二、它解决什么问题
普通模型擅长生成文本，但它不会天然连接你的业务系统。
它不知道订单系统在哪。
也不能直接访问会议系统、邮件服务、支付系统。
没有 Tool Calling 时，如果你想让 AI 查订单，常见写法是：
判断用户是不是要查订单
→ 如果是，调用订单服务
→ 把结果拼进 prompt
→ 让模型生成回答
工具少的时候，这样能跑。
但工具一多，就会开始失控：
查订单
查物流
取消订单
发短信
建工单
查库存
每个意图都写一套判断，业务代码很快会变成一堆分支。
Tool Calling 的价值，是把这件事变成统一流程：
应用告诉模型：我有哪些工具
模型根据用户问题选择工具
应用收到请求后执行工具
模型再基于工具结果回答
所以它解决的不是“模型知识不够”的问题。
它解决的是：
模型怎么请求外部系统帮它做事。
这也是为什么 Tool Calling 是 Agent 的核心能力之一。
Agent 不只是聊天机器人。
它要能理解任务，也要能协调外部能力。
三、它和 RAG、Memory 的区别
RAG、Memory、Tool Calling 都是在增强模型，但增强的方向不一样。
RAG：查资料
用户问：
我们公司的报销流程是什么？
模型训练时没见过你公司的内部制度。
RAG 会从知识库里检索相关文档，再把资料交给模型。
它解决的是：
外部知识怎么给模型看。
Memory：接前文
用户上一轮说：
帮我看一下订单 12345。
下一轮又问：
它现在到哪了？
这里的“它”，指的是订单 12345。
Memory 负责把前面的对话带回来，让模型接上当前话题。
它解决的是：
当前对话前面发生过什么。
Tool Calling：调能力
用户说：
帮我订明天上午 10 点的会议室。
模型不能自己打开会议系统。
但它可以请求调用预订工具。
应用再决定要不要执行、怎么执行。
它解决的是：
外部系统怎么帮模型做事。
一句话区分：
RAG：查资料
Memory：接前文
Tool Calling：调能力
一个完整 Agent 可以同时用三者，但边界要分清。
四、安全边界在哪
Tool Calling 最容易让人误解的一点是：
模型能调用工具，是不是就能直接操作我的系统？
不是。
模型只是提出请求。
应用才是真正执行的一方。
比如模型请求调用 deleteOrder，参数是 orderId=12345。
应用不能直接删。
它至少要检查：
当前用户有没有权限？
订单是不是属于这个用户？
订单状态能不能删除？
是否需要二次确认？
这些校验都必须在应用侧完成。
不要把工具描述当成安全控制。
你写了“只能删除自己的订单”，只是帮助模型理解工具用途。
真正的权限校验、参数校验、业务规则、限流、超时、日志，都要写在后端代码里。
所以 Tool Calling 的安全边界是：
允许模型提出请求，但由应用决定能不能执行。
最终控制权，必须在应用程序手里。
写在最后
Tool Calling 不复杂。
记住这三句话：
RAG 查资料
Memory 接前文
Tool Calling 调能力
RAG 让模型看到外部资料。
Memory 让模型接住前面的对话。
Tool Calling 让模型请求外部系统做事。
这三者组合起来，Agent 才不只是“会聊天”，而是能理解任务、调用能力、返回结果。
但边界一定要清楚：
Tool Calling 不是把系统控制权交给模型，而是让模型多了一种请求外部能力的方式。
后续会继续更新 Spring AI、RAG、Memory、Tool Calling、MCP 等 AI Agent 工程化内容。
