Tool-Calling: wie ein KI-Agent externe Werkzeuge aufruft

Ohne Tool-Calling kann ein Sprachmodell nur eines: Text aus Text erzeugen. Es kann weder eine aktuelle Datenbank abfragen, noch eine Nachricht senden, noch eine Aktion in einer Drittsoftware auslösen. Tool-Calling ist die Brücke, die ein Modell mit einem externen System verbindet. Das ist es, was aus einem plaudernden Modell einen handlungsfähigen KI-Agenten macht, den Grundbaustein hinter jedem autonomen Agenten.

Definition im Detail

Tool-Calling, auch Function-Calling genannt, bezeichnet die Fähigkeit eines Sprachmodells, auf eine Anfrage nicht nur mit Text zu antworten, sondern mit einer strukturierten Anforderung, eine präzise Funktion mit Argumenten auszuführen, die nach einem vorab festgelegten Schema befüllt werden. Die Dokumentation von Anthropic beschreibt das Prinzip so: Das Modell bestimmt anhand der Anfrage und der Werkzeugbeschreibung, ob es ein Werkzeug aufrufen soll, und gibt dann einen strukturierten Aufruf zurück, den die Anwendung ausführt (clientseitig) oder den der Anbieter selbst ausführt (serverseitig, bei bestimmten integrierten Werkzeugen). Die Dokumentation von OpenAI, die den Begriff Function-Calling 2023 populär gemacht hat, beschreibt einen identischen Mechanismus: Das Modell antwortet mit einem maschinenlesbaren Funktionsaufruf statt mit freiem Text, den auszuführen der Anwendung obliegt.

Die beiden Referenzanbieter stimmen in der grundlegenden Definition überein: Eine Funktion wird durch einen Namen, eine Beschreibung in natürlicher Sprache und ein JSON-Schema beschrieben, das ihre erwarteten Parameter auflistet. Das Modell stützt sich ausschließlich auf diese drei Elemente, um zu entscheiden, ob es das Werkzeug aufrufen soll und wie es dessen Argumente befüllt. Zwischen den beiden Ansätzen besteht bei diesem Grundprinzip keine nennenswerte Abweichung; die Unterschiede liegen in Implementierungsdetails (Formate für parallele Aufrufe, vom Anbieter nativ bereitgestellte Werkzeuge, Fehlerbehandlung).

Tool-Calling ist das, was einen einfachen Chatbot von einem System unterscheidet, das auf die reale Welt einwirken kann: eine Datenbank abfragen, im Web suchen, in eine Datei schreiben, eine Nachricht senden, eine Zahlung auslösen. Es ist auch der Grundbaustein, der das MCP-Protokoll erst möglich macht, das darauf ausgelegt ist, zu standardisieren, wie Werkzeuge einem Modell beschrieben und bereitgestellt werden.

So funktioniert es

Der Ablauf eines Werkzeugaufrufs folgt immer demselben mehrstufigen Schema. Zunächst definiert die Anwendung eine Liste verfügbarer Werkzeuge für das Modell, jedes mit Namen, Beschreibung und Argumentschema. Dann erhält das Modell die Anfrage des Nutzers zusammen mit dieser Werkzeugliste und entscheidet abhängig vom Kontext, ob es direkt in Text antwortet oder die Ausführung eines Werkzeugs anfordert.

Entscheidet es sich, ein Werkzeug aufzurufen, gibt das Modell eine strukturierte Antwort zurück, die den Namen des Werkzeugs und die Werte seiner Argumente enthält, ohne selbst etwas auszuführen. Die Anwendung empfängt diese Anforderung, führt die Aktion tatsächlich aus (eine API aufrufen, eine Datenbank lesen, eine Datei schreiben) und gibt das Ergebnis dann in einer für das Modell lesbaren Form zurück. Das Modell setzt seine Antwort dann gestützt auf dieses Ergebnis fort und kann bei Bedarf mehrere aufeinanderfolgende Werkzeugaufrufe aneinanderreihen, wenn die Aufgabe es verlangt.

Diese Aufteilung ist wichtig für die Sicherheit: Das Modell führt selbst niemals Code aus, es schlägt nur einen Aufruf vor. Die Anwendung behält die Kontrolle darüber, was tatsächlich ausgeführt wird, und kann einen Aufruf ablehnen, wenn die Bedingungen nicht erfüllt sind.

Konkretes Beispiel bei Atako

Bei Atako steht Tool-Calling im Zentrum der Funktionsweise eines Agenten. Jede verbundene Integration (Slack, Notion, GitHub, HubSpot und rund vierzig weitere) stellt eine Reihe präziser Aktionen bereit, etwa post_message bei Slack oder create_issue bei GitHub, die der Agent aufrufen kann, wenn er urteilt, dass die Aufgabe es verlangt.

Bei Atako wird ein Werkzeugaufruf jedoch niemals direkt ausgeführt. Er durchläuft zunächst eine Berechtigungsprüfung: Die Plattform prüft, ob für diesen Agenten und diese bestimmte Verbindung ein "Grant" existiert, ob die angeforderte Aktion tatsächlich in der Liste der erlaubten Aktionen dieses Grants steht, und ob der gewährte Umfang (nur lesen oder lesen-schreiben) die betreffende Aktion abdeckt. Ist eine dieser Bedingungen nicht erfüllt, wird der Aufruf abgelehnt und der Fehlschlag protokolliert. Dieser Entscheidungsweg, Agent schlägt einen Aufruf vor, dann prüft die Plattform vor der Ausführung, ist genau die Sicherheitslogik, die Tool-Calling ermöglicht: Das Modell schlägt vor, die Infrastruktur entscheidet.

Häufige Fehler

Ein häufiger Fehler besteht darin, zu glauben, das Modell führe das von ihm aufgerufene Werkzeug selbst aus. Das ist nie der Fall: Das Modell erzeugt eine strukturierte Anforderung, es ist immer eine Anwendung oder eine Plattform, die die Aktion tatsächlich ausführt und sie jederzeit ablehnen kann.

Zweiter Fehler: denken, einem Modell Zugriff auf ein Werkzeug zu geben, entspreche einem vollständigen und unbegrenzten Zugriff auf diesen Dienst. Ein gut konzipiertes Tool-Calling-System begrenzt die verfügbaren Aktionen präzise, mit Berechtigungen pro Aktion und pro Umfang, statt eines generischen "Alles oder nichts"-Zugriffs.

Dritter Fehler: die Bedeutung der Werkzeugbeschreibung unterschätzen. Das Modell verfügt nur über Namen, Beschreibung und Argumentschema, um zu entscheiden, wann und wie es ein Werkzeug aufruft. Eine vage oder mehrdeutige Beschreibung führt selbst bei einem leistungsstarken Modell zu falsch gewählten Aufrufen oder fehlerhaften Argumenten.

Schließlich verwechseln manche Tool-Calling mit MCP. Tool-Calling ist der Grundmechanismus, seit 2023 bei den großen Modellanbietern vorhanden. MCP ist ein neueres Protokoll, das standardisiert, wie Werkzeuge beschrieben und mit einem Modell verbunden werden, um zu vermeiden, für jedes Werkzeug und jeden Anbieter eine eigene Integration neu zu entwickeln.