Værktøjskald (tool calling)

Forskningsprototyper kom først: ReAct (Yao et al., 2022) flettede ræsonnement og handlinger sammen, og Toolformer (Schick et al., 2023) lærte selvsuperviseret en model, hvor den skulle indsætte API-kald. Kommercielle API'er standardiserede mønsteret, da OpenAI lancerede function calling i juni 2023, fulgt af Anthropic, Google og familier af modeller med åbne vægte. Under motorhjelmen gengives værktøjslisten, typisk navne, beskrivelser og parameterdefinitioner i JSON Schema, i prompten via modellens chatskabelon, og finjustering lærer modellen at udsende et kald i et reserveret format i stedet for prosa, når et værktøj vil hjælpe.

Protokollen er en udveksling i to trin. I Anthropics Messages API indeholder assistentens tur en tool_use-blok med et id, værktøjets navn og et input-objekt, og svarets stop_reason er tool_use; applikationen udfører kaldet og sender en brugertur med en tool_result-blok, der henviser til samme id og eventuelt er markeret med is_error. OpenAI's modstykke returnerer tool_calls, hvis argumenter kommer som en JSON-kodet streng, og besvares med en besked med rollen tool og et tilsvarende tool_call_id. Begge understøtter flere kald i samme tur (parallelle værktøjskald) og en tool_choice-indstilling, hvor udvikleren kan tillade, gennemtvinge eller forbyde værktøjsbrug. Løkken fortsætter, indtil modellen svarer uden at kalde et værktøj, og det er præcis kontrolløkken i en AI-agent.

Pålideligheden afhænger af skemaet og dekoderen. Uden begrænsninger kan en model lave ugyldig JSON, opfinde parametre eller vælge det forkerte værktøj; OpenAI's strict mode (august 2024) og tilsvarende grammatikbegrænset dekodning garanterer argumenter, der overholder skemaet, men ikke korrekte argumenter. Hver værktøjsdefinition koster kontekst-tokens i hver forespørgsel, og træfsikkerheden i valget af værktøj falder, når kataloget vokser til flere dusin, og derfor indlæser større systemer værktøjer efter behov eller router først. Fejl bør returneres til modellen som resultater i stedet for at blive kastet som undtagelser, så den kan rette sit kald; træfsikkerhed ved værktøjsbrug måles af testsuiter som Berkeley Function Calling Leaderboard.

Sikkerhedsmodellen er let at tage fejl af. Modellen udfører aldrig noget selv; det gør applikationen, så applikationen er håndhævelsespunktet. Argumenter er upålideligt input, der skal valideres og autoriseres mod slutbrugerens rettigheder frem for servicekontoens, og værktøjer med sideeffekter kræver idempotens og, ved handlinger med stor betydning, menneskelig bekræftelse. Værktøjsresultater er også upålidelige: tekst fra et webopslag eller et e-mailværktøj er den primære vej for indirekte prompt injection. OWASP Top 10 for LLM Applications 2025 dækker de deraf følgende risici som LLM06 Excessive Agency og LLM05 Improper Output Handling. Structured output er den ikke-udførende søskende; Model Context Protocol standardiserer, hvordan værktøjer beskrives og udbydes på tværs af applikationer.