Инструменты агента: как ИИ делает действия в ваших системах

Модель умеет только писать текст. Инструмент дает ей возможность действовать: это функция в программе агента с названием, описанием и списком параметров, например «найти клиента по телефону».

Примеры для бизнеса: найти клиента в CRM, создать сделку, проверить остаток в 1С, записать клиента на свободное время, отправить письмо. Каждое действие описывают отдельно, и агент видит только те, что ему выдали.

Модель не выполняет действие сама. Она возвращает запрос на вызов: имя инструмента и значения параметров. Функцию выполняет программа агента и передает модели результат.

Инструменты подключают двумя способами. Первый: описать функцию в коде агента. Второй: подключить MCP-серверMCP-сервер MCP-сервер это программа, которая открывает ИИ-приложению доступ к одной системе по протоколу MCP: сообщает, какие действия и данные доступны, и выполняет запросы модели. Подробнее в словаре, через который агент получает готовый набор действий сервиса. Протокол MCP Anthropic открыла 25 ноября 2024 года как единый способ подключать ИИ к данным и сервисам; как подключить сервер, мы разобрали отдельно.

Вызов функцийвызов функций Вызов функций (function calling) это способ, которым языковая модель просит программу выполнить действие: модель выбирает функцию и заполняет ее параметры, а код приложения выполняет запрос и возвращает результат. Подробнее в словаре работает и с открытыми моделями. Ollama, программа для запуска моделей на своем сервере, принимает описание инструментов вместе с вопросом, и модель, например qwen3, возвращает вызов нужной функции.

Агент работает по циклу ReAct: модель рассуждает, какой шаг нужен, вызывает инструмент, читает результат и решает, что делать дальше. Подход описан в 2022 году, на нем стоит большинство ИИ-агентовИИ-агент ИИ-агент это нейросеть, которая не просто отвечает, а сама выполняет задачу по шагам: ищет данные, пользуется программами и проверяет результат. Подробнее в словаре.

Выбор зависит от просьбы клиента и от описания инструмента. В документации Anthropic это сказано прямо: модель вызывает инструмент, когда запрос совпадает с описанной возможностью, а ответа еще нет в контексте.

Выбором управляют и инструкцией. Фраза в системном промпте «прежде чем ответить, проверь данные инструментом» заставляет модель чаще обращаться к инструментам, а параметр tool_choice в API Anthropic делает вызов обязательным.

Пример. Клиент спрашивает, где его заказ. Модель видит инструменты «найти заказ по номеру» и «создать сделку», выбирает первый и берет номер из сообщения. Если номера нет, сильная модель чаще переспросит, а слабая может подставить догадку.

За один запрос модель может вызвать несколько инструментов подряд или сразу несколько параллельно. Цикл заканчивается, когда новых вызовов нет и модель готова ответить.

Число шагов ограничивают заранее, чтобы агент не ходил по кругу. В n8n у узла «AI Agent» для этого есть параметр «Max Iterations» (сколько раз модель может запуститься за один запрос), по умолчанию 10.

Описание инструмента модель читает как инструкцию. Документация Anthropic называет подробное описание главным фактором качества и советует писать не меньше 3-4 предложений на каждый инструмент.

Что должно быть в описании: что инструмент делает; когда его вызывать и когда нет; что значит каждый параметр; чего инструмент не возвращает.

Плохо: «get_client: получает клиента». Хорошо: «Ищет клиента в CRM по номеру телефона. Вызывай, когда клиент спрашивает о своем заказе или бонусах. Телефон в формате +7. Историю оплат не возвращает».

Связанные действия объединяют в один инструмент с параметром «действие», а названия начинают с имени системы: crm_find_client, crm_create_deal. Так модель реже путает инструменты, когда их много.

Ответ инструмента тоже проектируют. Он возвращает только поля, нужные для следующего шага, и понятные идентификаторы, например номер заказа, а не внутренний код базы. Лишние данные занимают место в контексте и мешают модели найти главное.

Описание подсказывает модели, а останавливают ее права. У агента своя учетная запись в CRM и 1С с доступом только к его процессу: агенту продаж достаточно заводить сделки, выгрузка базы ему не нужна. Полный список проверок собран в чек-листе защиты агента.

Опасные действия ставят на подтверждение человеком: оплату, возврат денег, удаление записей. В Agents SDK, открытом наборе OpenAI для сборки агентов, который вышел 11 марта 2025 года, инструмент с отметкой needs_approval останавливает работу, пока человек не одобрит или не отклонит вызов.

Журнал отвечает на вопрос «что агент сделал и почему». По каждому диалогу в нем видно, какой инструмент вызван, с какими параметрами, что вернула система и какой ответ получил клиент.

В Agents SDK от OpenAI трассировка, то есть запись каждого шага, включена по умолчанию. Она сохраняет ответы модели, вызовы инструментов, передачу задачи между агентами и срабатывание ограничителейограничители Ограничители (guardrails) это проверки и правила вокруг языковой модели, которые не пускают в нее опасные запросы и не выпускают из нее недопустимые ответы и действия. Подробнее в словаре. Отключают ее переменной окружения или в коде.

В n8n каждый запуск процесса виден на вкладке «Executions» (запуски). Параметр «Return Intermediate Steps» у узла «AI Agent» добавляет в результат промежуточные шаги агента.

Действия агента должны оставаться и в журнале самой системы. Если агент создал сделку, она видна в истории CRM под его учетной записью, и ваш администратор проверяет ее без доступа к программе подрядчика.

В журнале лежат персональные данные: имена, телефоны, переписка. На него распространяется 152-ФЗ: данные граждан России собирают и хранят в базах на территории России, а до передачи за рубеж оператор подает уведомление в Роскомнадзор. Как это устроено у нас, описано на странице о безопасности данных.

По журналу разбирают ошибки и пополняют набор проверочных вопросов: каждый неверный вызов становится новым тестом.