Tool Calling (Function Calling).

Technisch bekommt das Modell zusammen mit der Anfrage eine Liste verfügbarer Werkzeuge. Jedes Werkzeug besteht aus einem Namen, einer Beschreibung in natürlicher Sprache und einem Schema, das die erlaubten Parameter samt Typ und Pflichtfeldern festlegt. Hält das Modell ein Werkzeug für passend, antwortet es nicht mit Text, sondern mit einem Aufruf: Werkzeugname plus Argumente im vorgegebenen Format. Die Beschreibung ist dabei kein Beiwerk, sondern die eigentliche Steuerung — sie ist der einzige Anhaltspunkt, anhand dessen das Modell entscheidet, wann ein Werkzeug das richtige ist und wann nicht.

Entscheidend für das Verständnis ist, dass das Modell selbst nichts ausführt. Es formuliert einen Wunsch, mehr nicht. Die Anwendung entscheidet, ob sie ihn erfüllt, prüft die Argumente, führt die Aktion aus und gibt das Ergebnis als neue Nachricht zurück. Erst dann formuliert das Modell die Antwort für die Nutzerin, oder es ruft das nächste Werkzeug auf. Diese Trennung ist die zentrale Sicherheitsgrenze eines jeden Agenten: Alle Rechteprüfungen, Limits und Freigaben gehören in die ausführende Anwendung, niemals in die Anweisung an das Modell.

In der Praxis entscheidet die Zuschnittqualität über die Zuverlässigkeit. Wenige, klar abgegrenzte Werkzeuge funktionieren deutlich besser als dreissig ähnliche; sprechende Parameternamen ersparen Fehlgriffe; und Fehler sollten als lesbarer Text zurückgegeben werden statt als Statuscode, weil das Modell daraus einen zweiten, besseren Versuch ableiten kann. Für Aktionen mit Aussenwirkung gelten zwei weitere Regeln: Sie sollten mehrfach ausführbar sein, ohne Schaden anzurichten, und vor unumkehrbaren Schritten gehört eine ausdrückliche Bestätigung dazwischen — der Punkt, an dem Human-in-the-Loop ins Spiel kommt.

Ein Anwendungsfall aus dem Website-Umfeld: Ein Assistent auf einer Dienstleistungsseite soll freie Termine nennen und auf Wunsch eine Anfrage erfassen. Dafür genügen zwei Werkzeuge. Das erste liest die Verfügbarkeit und darf ohne Rückfrage laufen, weil es nichts verändert. Das zweite legt eine Anfrage an und wird erst nach einer sichtbaren Bestätigung ausgeführt, inklusive Prüfung von E-Mail-Format und Ratenbegrenzung in der Anwendung. Dieselbe Logik steht hinter WebMCP, nur registriert dort die Website ihre Werkzeuge direkt für den Agenten des Besuchers.