从聊天到办事：模型、Agent 与工具调用

模型：纯引擎。输入文字，输出文字，仅此而已。它不能读你的硬盘、不能上网、不能发邮件。 Agent：模型 + 工具 + 循环 + 目标。在模型的「想」之上，加装了「做」的能力——调用搜索、读写文件、操作软件。 应用：Agent + 界面 + 权限 + 数据。你实际下载安装的那个产品。 分清三层的价值在于排障：AI 产品答错了内容，可能是模型能力问题；该执行没执行，可能是工具权限问题；界面卡死，那是应用问题。把产品问题一股脑怪到「模型不行」，是最常见的误诊——反过来也一样，很多「换了个更强的模型就好了」的案例，其实是提示词和流程设计变了。 举个例子帮助理解三层：你用某个 AI 办公助手帮你发邮件。 模型层 → 负责理解你的意图、生成邮件内容（纯文字工作） Agent 层 → 负责调用邮件 API 发送（它能「动手」是因为被赋予了工具） 应用层 → 你看到的界面按钮、权限校验、发送确认弹窗 如果邮件内容措辞不当 → 模型问题（改提示词） 如果点了发送没反应 → 工具/API 问题（检查权限配置） 如果页面一直转圈 → 应用问题（检查网络和前端）

模型永远只做一件事：生成文字。所谓「动手」，完整往返是这样的： 1. 系统预先告诉模型有哪些工具可用、各要什么参数； 2. 模型判断需要查天气，于是输出的不是答案，而是一段结构化请求：「调用天气查询，城市=北京」； 3. 外部系统（不是模型！）校验参数、真正执行查询； 4. 执行结果作为新的输入返回给模型； 5. 模型拿到「北京晴，26 度」，组织成自然语言回答你。 安全的关键在第 3 步的执行侧：模型只能「请求」，系统负责校验权限、拦截危险操作。所以评估一个 Agent 产品的安全性，核心是看它的工具执行层做了什么校验，而不是听它说「我们的模型很聪明」。

把上面的往返串成循环，就是 Agent 的全部运转方式： 接收目标 → 思考规划 → 调用工具 → 观察结果 → 调整计划 → 继续执行……直到任务完成或触发停止条件。 复杂任务跑几十轮就是这么转起来的。循环里最容易被低估的是「观察」环节：每步执行完，必须读取真实结果来决定下一步。跳过观察、从头猜到尾的，不叫 Agent，叫掷骰子。 理解循环还有个实际好处——解释成本：每一轮都在消耗 token（而且历史越滚越长），这就是为什么 Agent 跑一个任务的花费可能是一句问答的几十倍。第十七章的账单课会接着算这笔钱。