摘要9-27/03 的多智能体编排让 Agent 会**“分工”但要让它真正动手还差一层——把自然语言意图翻译成结构化工具调用**并在隔离沙箱里安全执行。本文讲清JSON Schema 工具定义 → 模型决策调用 → 并行调度 → 沙箱隔离执行 → 错误重试的完整链路并把它挂到 9-25 统一网关与 9-26 内容护栏上。没有隔离运行的工具调用就是把生产系统的数据库钥匙直接塞给一个会幻觉的模型——Agent 能力的上限取决于工具执行有多克制。一句话结论用 JSON Schema 把工具声明成强类型接口、用依赖图做并行/串行调度、用命名空间 超时 资源配额的沙箱兜住模型调坏东西的风险再把工具统一收口到 9-25 网关与 9-26 护栏让每一次工具调用都可控、可观测、可回滚。1. 为什么 Function Calling 是 Agent 的手9-27/03 解决了谁来干、按什么顺序干但子 Agent 最终要落地动作查数据库、发 HTTP、跑代码、调第三方 API。把这些动作封装成工具Tool再由模型决定何时调用、传什么参数就是 Function Calling。没有工具调用有工具调用模型只能说不能做模型能查询、能执行、能改变世界答案停留在文本动作可触发真实副作用知识靠 RAG 补能力靠工具补风险只是说错话风险变成做错事这正是 9-11 安全周沙箱逃逸事件反复强调的一旦模型能调用工具攻击面就从提示词扩张到系统边界。9-26 的内容护栏管入站说什么、出站露什么而工具执行沙箱管模型到底能碰什么。2. 结构化工具定义用 JSON Schema 当契约工具不是一段自由文本而是一份强类型契约。主流做法是用 JSON Schema 描述参数模型返回结构化的arguments不再是我帮你查一下这种自然语言。{name:query_orders,description:按状态码与时间范围查询订单返回结构化列表,parameters:{type:object,properties:{status:{type:string,enum:[paid,shipped,refund]},start:{type:string,format:date,description:起始日期 YYYY-MM-DD},end:{type:string,format:date,description:结束日期 YYYY-MM-DD},limit:{type:integer,minimum:1,maximum:200,default:50}},required:[status,start,end]}}工程要点description写清楚何时用比写清楚做什么更重要enum/minimum/maximum等约束能把 80% 的参数幻觉挡在模型侧。这也呼应 9-26 护栏的入站校验——在模型吐出参数后、执行前再做一次 schema 校验。3. 并行调用与依赖编排强模型如 9-27/03 的规划者一次可以返回多个工具调用。对无依赖的调用应当并行发起对有依赖的则串行importasyncio,jsonfromtypingimportList,Dictasyncdefdispatch_calls(calls:List[Dict],executor)-List[Dict]:calls: 模型返回的工具调用列表含 id / name / arguments# 按依赖分组无 depends_on 的并行其余按拓扑序pending[cforcincallsifnotc.get(depends_on)]blocked[cforcincallsifc.get(depends_on)]asyncdefrun_one(c):try:resawaitexecutor.execute(c[name],c[arguments],timeoutc.get(timeout,8))return{id:c[id],ok:True,result:res}exceptExceptionase:return{id:c[id],ok:False,error:str(e)}resultsawaitasyncio.gather(*(run_one(c)forcinpending))by_id{r[id]:rforrinresults}# 处理依赖把上游结果注入下游 argumentsforcinblocked:depby_id.get(c[depends_on])ifdepanddep[ok]:c[arguments][_upstream]dep[result]resawaitrun_one(c)results.append(res)returnresults调度策略适用注意全并行多个独立查询注意后端并发与配额拓扑串行上游输出是下游输入失败要阻断下游分批限流调用第三方 API别把对方限流打爆4. 工具执行沙箱把做错事挡在系统边界工具执行沙箱解决一个核心矛盾模型需要权限才能有用但权限越大越危险。参考 9-11 沙箱逃逸根因权限边界过宽 网络横向移动沙箱要落地三件事4.1 命名空间隔离每个工具运行在独立的租户命名空间只能访问被显式授权的资源前缀。例如订单工具只读db/orders/tenant/*绝看不到db/users/*。4.2 超时与资源配额importsignal,resource,functoolsdefwith_limits(timeout8,max_mem_mb256):defdeco(fn):functools.wraps(fn)defwrapper(*a,**k):def_timo(signum,frame):raiseTimeoutError(f工具执行超过{timeout}s)signal.signal(signal.SIGALRM,_timo)signal.alarm(timeout)try:returnfn(*a,**k)finally:signal.alarm(0)returnwrapperreturndeco4.3 网络与副作用白名单写操作发邮件、改订单默认需二次确认或走 9-25 网关的审批流网络出口只允许白名单域名所有执行挂 9-24 的 OpenTelemetry trace事后可审计。这套沙箱与 9-23 的 MCP 2.0 零信任网关是互补的网关管谁能发调用沙箱管调用能在里面干什么。5. 错误重试与幂等工具调用失败分两类瞬时错误超时、限流应重试语义错误参数非法、业务拒绝不应重试直接回抛模型让其修正。importasyncioasyncdefcall_with_retry(executor,name,args,max_retry3):lastNoneforiinrange(max_retry):try:returnawaitexecutor.execute(name,args,timeout8)except(TimeoutError,RateLimitError)ase:# 瞬时错误lasteawaitasyncio.sleep(2**i)# 指数退避exceptBusinessErrorase:# 语义错误不重试raiseeraiseRuntimeError(f工具{name}重试{max_retry}次仍失败:{last})错误类型是否重试处理超时 / 限流是≤3 次指数退避参数非法否回抛模型修正业务拒绝权限不足否升级人工 / 审批未知异常否记 trace 告警6. 把工具收口到 9-25 网关与 9-26 护栏生产平台不该让每个 Agent 自己直连工具而是走统一入口Agent → 9-25 网关(鉴权/路由/配额) → 9-26 入站护栏(参数校验/越狱检测) → 工具调度器(并行/依赖) → 工具沙箱(隔离/超时/白名单) → 9-26 出站护栏(脱敏/水印) → trace 回 9-24 OTel这样工具调用天然获得租户级配额、统一审计、内容脱敏、可观测——与 RAG9-27/01、微调后端9-27/02、多 Agent9-27/03共用同一套治理底座。7. 小结Function Calling 把 Agent 从嘴炮变成能手但能力越大责任越大。抓三件事契约化JSON Schema 强类型、编排化并行/依赖调度、隔离化沙箱 护栏。至此分工9-27/03—动手本文—管上下文9-28/02—安全发布9-28/03构成生产级 Agent 的完整闭环。常见问题FAQQ1Function Calling 和 MCP 工具是什么关系AMCP 2.09-19/20定义了工具的远程发现、订阅与联邦协议Function Calling 是模型决策与参数生成的接口。实践中 MCP Server 暴露的工具会被映射成本文的 JSON Schema 交给模型调用二者是协议层与调用层的上下关系。Q2模型返回的参数不合法怎么办A先过 schema 校验类型/枚举/范围非法直接回抛模型让其修正并附上错误信息这是 9-26 入站护栏在工具侧的延伸。不要替模型猜参数。Q3写操作发邮件、改库如何防滥用A默认走确认 / 审批双轨低风险读操作自动放行高风险写操作经 9-25 网关审批流或人工确认沙箱网络白名单进一步收窄可触达面。Q4并行调用会不会把第三方 API 打爆A会。要在调度层加租户级 工具级限流并把上游限流429当瞬时错误做退避而非硬失败。Q5沙箱用容器还是进程级隔离就够了A读多写少、信任度高的内部工具可用进程级namespace 资源配额涉及不可信代码执行如用户自定义脚本必须用容器 / gVisor 等强隔离参考 9-11 沙箱逃逸教训。Q6工具调用如何计费与归因A每个执行挂 9-24 的 OTel span按tenant tool 耗时维度归因到成本重复或低效调用可借 9-25 语义缓存消除。Q7重试会不会造成重复副作用如重复发邮件A会。所有写工具必须幂等用idempotency_key重试时带同一 key后端去重避免指数退避把一封邮件发出三遍。参考资料OpenAI Function Calling 官方文档函数调用与工具使用范式2026Anthropic / MCP 2.0 规范草案Agent Federation 与远程资源订阅2026-09-19本专栏 9-11《一周 AI 安全动态》Astra 沙箱逃逸根因与 METR 独立审计本专栏 9-23《MCP 2.0 生产安全加固》零信任网关与最小特权本专栏 9-25《统一 LLM 推理网关实战》本专栏 9-26《AI 网关内容安全与提示注入防御实战》 函数调用与工具执行沙箱实战：结构化 Function Calling、并行调用与隔离运行
摘要9-27/03 的多智能体编排让 Agent 会**“分工”但要让它真正动手还差一层——把自然语言意图翻译成结构化工具调用**并在隔离沙箱里安全执行。本文讲清JSON Schema 工具定义 → 模型决策调用 → 并行调度 → 沙箱隔离执行 → 错误重试的完整链路并把它挂到 9-25 统一网关与 9-26 内容护栏上。没有隔离运行的工具调用就是把生产系统的数据库钥匙直接塞给一个会幻觉的模型——Agent 能力的上限取决于工具执行有多克制。一句话结论用 JSON Schema 把工具声明成强类型接口、用依赖图做并行/串行调度、用命名空间 超时 资源配额的沙箱兜住模型调坏东西的风险再把工具统一收口到 9-25 网关与 9-26 护栏让每一次工具调用都可控、可观测、可回滚。1. 为什么 Function Calling 是 Agent 的手9-27/03 解决了谁来干、按什么顺序干但子 Agent 最终要落地动作查数据库、发 HTTP、跑代码、调第三方 API。把这些动作封装成工具Tool再由模型决定何时调用、传什么参数就是 Function Calling。没有工具调用有工具调用模型只能说不能做模型能查询、能执行、能改变世界答案停留在文本动作可触发真实副作用知识靠 RAG 补能力靠工具补风险只是说错话风险变成做错事这正是 9-11 安全周沙箱逃逸事件反复强调的一旦模型能调用工具攻击面就从提示词扩张到系统边界。9-26 的内容护栏管入站说什么、出站露什么而工具执行沙箱管模型到底能碰什么。2. 结构化工具定义用 JSON Schema 当契约工具不是一段自由文本而是一份强类型契约。主流做法是用 JSON Schema 描述参数模型返回结构化的arguments不再是我帮你查一下这种自然语言。{name:query_orders,description:按状态码与时间范围查询订单返回结构化列表,parameters:{type:object,properties:{status:{type:string,enum:[paid,shipped,refund]},start:{type:string,format:date,description:起始日期 YYYY-MM-DD},end:{type:string,format:date,description:结束日期 YYYY-MM-DD},limit:{type:integer,minimum:1,maximum:200,default:50}},required:[status,start,end]}}工程要点description写清楚何时用比写清楚做什么更重要enum/minimum/maximum等约束能把 80% 的参数幻觉挡在模型侧。这也呼应 9-26 护栏的入站校验——在模型吐出参数后、执行前再做一次 schema 校验。3. 并行调用与依赖编排强模型如 9-27/03 的规划者一次可以返回多个工具调用。对无依赖的调用应当并行发起对有依赖的则串行importasyncio,jsonfromtypingimportList,Dictasyncdefdispatch_calls(calls:List[Dict],executor)-List[Dict]:calls: 模型返回的工具调用列表含 id / name / arguments# 按依赖分组无 depends_on 的并行其余按拓扑序pending[cforcincallsifnotc.get(depends_on)]blocked[cforcincallsifc.get(depends_on)]asyncdefrun_one(c):try:resawaitexecutor.execute(c[name],c[arguments],timeoutc.get(timeout,8))return{id:c[id],ok:True,result:res}exceptExceptionase:return{id:c[id],ok:False,error:str(e)}resultsawaitasyncio.gather(*(run_one(c)forcinpending))by_id{r[id]:rforrinresults}# 处理依赖把上游结果注入下游 argumentsforcinblocked:depby_id.get(c[depends_on])ifdepanddep[ok]:c[arguments][_upstream]dep[result]resawaitrun_one(c)results.append(res)returnresults调度策略适用注意全并行多个独立查询注意后端并发与配额拓扑串行上游输出是下游输入失败要阻断下游分批限流调用第三方 API别把对方限流打爆4. 工具执行沙箱把做错事挡在系统边界工具执行沙箱解决一个核心矛盾模型需要权限才能有用但权限越大越危险。参考 9-11 沙箱逃逸根因权限边界过宽 网络横向移动沙箱要落地三件事4.1 命名空间隔离每个工具运行在独立的租户命名空间只能访问被显式授权的资源前缀。例如订单工具只读db/orders/tenant/*绝看不到db/users/*。4.2 超时与资源配额importsignal,resource,functoolsdefwith_limits(timeout8,max_mem_mb256):defdeco(fn):functools.wraps(fn)defwrapper(*a,**k):def_timo(signum,frame):raiseTimeoutError(f工具执行超过{timeout}s)signal.signal(signal.SIGALRM,_timo)signal.alarm(timeout)try:returnfn(*a,**k)finally:signal.alarm(0)returnwrapperreturndeco4.3 网络与副作用白名单写操作发邮件、改订单默认需二次确认或走 9-25 网关的审批流网络出口只允许白名单域名所有执行挂 9-24 的 OpenTelemetry trace事后可审计。这套沙箱与 9-23 的 MCP 2.0 零信任网关是互补的网关管谁能发调用沙箱管调用能在里面干什么。5. 错误重试与幂等工具调用失败分两类瞬时错误超时、限流应重试语义错误参数非法、业务拒绝不应重试直接回抛模型让其修正。importasyncioasyncdefcall_with_retry(executor,name,args,max_retry3):lastNoneforiinrange(max_retry):try:returnawaitexecutor.execute(name,args,timeout8)except(TimeoutError,RateLimitError)ase:# 瞬时错误lasteawaitasyncio.sleep(2**i)# 指数退避exceptBusinessErrorase:# 语义错误不重试raiseeraiseRuntimeError(f工具{name}重试{max_retry}次仍失败:{last})错误类型是否重试处理超时 / 限流是≤3 次指数退避参数非法否回抛模型修正业务拒绝权限不足否升级人工 / 审批未知异常否记 trace 告警6. 把工具收口到 9-25 网关与 9-26 护栏生产平台不该让每个 Agent 自己直连工具而是走统一入口Agent → 9-25 网关(鉴权/路由/配额) → 9-26 入站护栏(参数校验/越狱检测) → 工具调度器(并行/依赖) → 工具沙箱(隔离/超时/白名单) → 9-26 出站护栏(脱敏/水印) → trace 回 9-24 OTel这样工具调用天然获得租户级配额、统一审计、内容脱敏、可观测——与 RAG9-27/01、微调后端9-27/02、多 Agent9-27/03共用同一套治理底座。7. 小结Function Calling 把 Agent 从嘴炮变成能手但能力越大责任越大。抓三件事契约化JSON Schema 强类型、编排化并行/依赖调度、隔离化沙箱 护栏。至此分工9-27/03—动手本文—管上下文9-28/02—安全发布9-28/03构成生产级 Agent 的完整闭环。常见问题FAQQ1Function Calling 和 MCP 工具是什么关系AMCP 2.09-19/20定义了工具的远程发现、订阅与联邦协议Function Calling 是模型决策与参数生成的接口。实践中 MCP Server 暴露的工具会被映射成本文的 JSON Schema 交给模型调用二者是协议层与调用层的上下关系。Q2模型返回的参数不合法怎么办A先过 schema 校验类型/枚举/范围非法直接回抛模型让其修正并附上错误信息这是 9-26 入站护栏在工具侧的延伸。不要替模型猜参数。Q3写操作发邮件、改库如何防滥用A默认走确认 / 审批双轨低风险读操作自动放行高风险写操作经 9-25 网关审批流或人工确认沙箱网络白名单进一步收窄可触达面。Q4并行调用会不会把第三方 API 打爆A会。要在调度层加租户级 工具级限流并把上游限流429当瞬时错误做退避而非硬失败。Q5沙箱用容器还是进程级隔离就够了A读多写少、信任度高的内部工具可用进程级namespace 资源配额涉及不可信代码执行如用户自定义脚本必须用容器 / gVisor 等强隔离参考 9-11 沙箱逃逸教训。Q6工具调用如何计费与归因A每个执行挂 9-24 的 OTel span按tenant tool 耗时维度归因到成本重复或低效调用可借 9-25 语义缓存消除。Q7重试会不会造成重复副作用如重复发邮件A会。所有写工具必须幂等用idempotency_key重试时带同一 key后端去重避免指数退避把一封邮件发出三遍。参考资料OpenAI Function Calling 官方文档函数调用与工具使用范式2026Anthropic / MCP 2.0 规范草案Agent Federation 与远程资源订阅2026-09-19本专栏 9-11《一周 AI 安全动态》Astra 沙箱逃逸根因与 METR 独立审计本专栏 9-23《MCP 2.0 生产安全加固》零信任网关与最小特权本专栏 9-25《统一 LLM 推理网关实战》本专栏 9-26《AI 网关内容安全与提示注入防御实战》