Agenten

Tool Calling (Function Calling)

Definition

Tool Calling erlaubt einem Sprachmodell, definierte Funktionen aufzurufen - etwa eine Datenbank abfragen oder eine E-Mail senden. So kann es handeln, statt nur Text zu erzeugen.

Ein Modell allein kann nichts tun außer schreiben. Tool Calling gibt ihm einen Werkzeugkasten mit klar beschriebenen Funktionen. Das Modell entscheidet, welches Werkzeug es mit welchen Parametern aufruft; die Anwendung führt den Aufruf tatsächlich aus und liefert das Ergebnis zurück, mit dem das Modell weiterarbeitet.

Das ist die Grundfähigkeit hinter jedem KI-Agenten und der Kern dessen, was ein MCP-Server standardisiert bereitstellt. Entscheidend für Sicherheit: Nur ausdrücklich freigegebene Werkzeuge stehen zur Verfügung, und folgenreiche Aktionen sollten eine menschliche Bestätigung durchlaufen. Was nicht als Werkzeug angeboten wird, kann das Modell auch nicht auslösen.

In der Praxis

Ein Kunststoffverarbeiter fragt Maschinendaten in normaler Sprache ab

Ein Betrieb mit 140 Mitarbeitenden und zwölf Spritzgießmaschinen erfasst Stillstände und Ausschuss seit Jahren sauber in der Betriebsdatenerfassung. Auswerten kann sie trotzdem nur das Controlling: Wer als Schichtleiter wissen will, welche Linie in der Nachtschicht am häufigsten stand, stellt eine Anfrage und bekommt am nächsten Tag eine Tabelle. Die Daten sind da, der Zugang fehlt.

Statt eines neuen Berichtswesens bekommt das Sprachmodell drei Werkzeuge: Stillstände je Linie und Zeitraum abrufen, Ausschussquote je Artikel abrufen, Auftragsstatus nachschlagen. Fragt jemand nach der Nachtschicht der letzten Woche, wählt das Modell das passende Werkzeug und füllt die Parameter - den Zeitraum, die Linie. Ausgeführt wird der Aufruf von der Anwendung, nicht vom Modell; zurück kommen echte Zahlen aus der Datenbank, die das Modell nur noch einordnet.

Der Aufwand steckt nicht im Modell, sondern in den Werkzeugen: Jede Beschreibung muss so eindeutig sein, dass das Modell sie nicht verwechselt, und jeder Parameter wird in der Anwendung geprüft, bevor er in eine Abfrage geht. Zeiträume sind begrenzt, alle drei Werkzeuge sind ausschließlich lesend. Ein schreibendes Werkzeug - etwa eine Stillstandsmeldung anlegen - wäre ein eigener Schritt mit eigener Freigabe, nicht einfach das vierte Werkzeug in derselben Liste.

Abgrenzung

Nicht zu verwechseln mit

MCP-Server: Tool Calling ist die Fähigkeit des Modells, Funktionen aufzurufen. MCP ist ein Standard dafür, wie solche Funktionen von einem System bereitgestellt werden. Sie können Tool Calling ohne MCP nutzen; MCP lohnt sich, sobald mehrere KI-Anwendungen dieselben Werkzeuge brauchen.
RAG (Retrieval-Augmented Generation): Retrieval beschafft Wissen zum Nachlesen, Tool Calling löst Handlungen aus und holt Live-Daten. Eine Frage nach dem Inhalt einer Betriebsanleitung beantwortet Retrieval; eine Frage nach dem heutigen Lagerbestand nur ein Werkzeugaufruf.

Fehlerbilder

Worauf es ankommt

Zu viele Werkzeuge gleichzeitig anbieten
Je länger die Werkzeugliste, desto häufiger greift das Modell zum falschen - besonders bei Werkzeugen mit ähnlichen Namen oder überlappendem Zweck. Wenige, klar abgegrenzte Werkzeuge je Anwendungsfall schlagen einen großen gemeinsamen Werkzeugkasten. Wo viele Werkzeuge nötig sind, werden sie nach Aufgabe gebündelt und nur die passende Gruppe bereitgestellt.
Schreibende Werkzeuge ohne Wiederholungsschutz
Ein Werkzeugaufruf kann wiederholt werden, weil eine Antwort ausbleibt oder das Modell unsicher ist. Ohne eindeutigen Vorgangsschlüssel entstehen so doppelte Bestellungen, doppelte Buchungen oder zwei identische Mails an denselben Kunden. Jede schreibende Funktion braucht diesen Schutz, bevor sie überhaupt freigegeben wird.
Werkzeuge mit einem Dienstkonto voller Rechte betreiben
Wird ein Werkzeug mit einem technischen Konto ausgeführt, das alles darf, sieht jeder Nutzer über den Umweg des Modells Daten, die er selbst nicht öffnen dürfte. Die Rechte des anfragenden Nutzers gehören bis in den Werkzeugaufruf durchgereicht - das ist nachträglich schwer einzubauen und gehört deshalb in den ersten Entwurf.
Die Werkzeugbeschreibung als Nebensache behandeln
Die Beschreibung ist kein Kommentar, sondern die eigentliche Schnittstelle zum Modell. Steht dort nur „liefert Daten“, rät das Modell bei Parametern und Zuständigkeit. Jede Beschreibung sollte sagen, wofür das Werkzeug gedacht ist, wofür ausdrücklich nicht, und was die Parameter bedeuten.

Häufige Fragen

Was zu Tool Calling (Function Calling) oft gefragt wird

Was ist der Unterschied zwischen Tool Calling und einer normalen API-Anbindung?

Bei einer normalen Anbindung legt der Entwickler fest, wann welcher Aufruf passiert. Beim Tool Calling entscheidet das Modell anhand der Anfrage, welche Funktion es mit welchen Werten aufruft. Die technische Anbindung dahinter ist dieselbe - neu ist nur, wer den Aufruf auslöst. Genau deshalb verschiebt sich die Absicherung von der Schnittstelle auf die Frage, welche Funktionen überhaupt angeboten werden.

Wie viele Werkzeuge verträgt ein Sprachmodell?

Technisch sind Dutzende möglich, praktisch sinkt die Trefferquote mit jeder weiteren ähnlichen Funktion. Bewährt hat sich, je Anwendungsfall eine überschaubare Zahl klar unterscheidbarer Werkzeuge bereitzustellen und größere Bestände nach Aufgabengebiet zu trennen. Wenn Sie selbst zwei Werkzeugbeschreibungen verwechseln könnten, wird das Modell es erst recht tun.

Was passiert, wenn das Modell ein Werkzeug falsch aufruft?

Das kommt vor und muss eingeplant werden. Die Anwendung prüft jeden Parameter, weist unplausible Aufrufe mit einer verständlichen Fehlermeldung zurück und lässt das Modell korrigieren. Entscheidend ist, dass ein falscher Aufruf folgenlos bleibt: Bei lesenden Werkzeugen kostet er nur einen Versuch, bei schreibenden braucht es Bestätigung und Wiederholungsschutz.

Wie sicher ist Tool Calling bei sensiblen Systemen?

Das größte Risiko ist nicht der Nutzer, sondern der verarbeitete Inhalt: In einem Dokument oder einer E-Mail kann eine Anweisung stehen, die das Modell als Auftrag missversteht und in einen Werkzeugaufruf umsetzt. Wirksam dagegen sind ein enger Werkzeugumfang, lesende Standardrechte, eine menschliche Bestätigung für folgenreiche Aktionen und die klare Trennung zwischen Anweisung und verarbeitetem Inhalt.

Verwandte Begriffe