ARTICLE · 1048423
一文读懂AI三大网关:模型网关、工具网关和智能体网关
一文读懂AI三大网关:模型网关、工具网关和智能体网关随着人工智能应用从单轮问答走向自主规划、工具调用和多智能体协作，企业需要管理的对象已经不再只有大模型。 一个智能体（Agent）在完成任务时，可能需要调用不同的大模型，访问知识库、业务接口和受控数据服务，还可能把部分任务委派给其他智能体。如果这些连接分别由各个开发团队自行建设，企业很快就会面临接口不统一、访问凭证分散、权限边界模糊、调用过程不可见以及安全责任难以追溯等问题。 模型网关、工具网关和智能体网关由此成为智能体基础设施中的三个重要组成部分。 ■模型网关管模型推理，工具网关管外部能力，智能体网关管跨智能体协作。 需要说明的是，模型网关、工具网关和智能体网关并非某项标准规定的固定分类，而是本文按照调用对象和治理场景形成的架构归纳。现实产品的名称和能力存在交叉，一个统一AI网关产品可能同时承载模型、工具和智能体流量。 传统人工智能应用的主要调用关系是“应用调用模型”，网关主要解决模型接口统一、访问认证、调用限额和运行监测等问题。 智能体应用形成了三种不同性质的连接关系。 三种调用关系看起来都表现为接口访问，但其调用对象、生命周期和风险并不相同。模型调用通常以一次推理请求为单位，工具调用可能直接读取数据或者改变外部状态，智能体调用则可能形成持续数分钟甚至更长时间的复杂任务。 因此，三类流量需要分别建立相应的路由、权限和审计机制。 专业智能体在执行任务过程中，通过模型网关调用不同的大模型和推理服务，并通过工具网关访问MCP服务器、API、受控数据服务、知识库及其他外部执行能力。智能体运行时或者编排引擎负责理解和拆解任务，并结合智能体目录选择相应的专业智能体，智能体网关负责对跨智能体调用实施身份验证、授权、路由、协议代理和审计。 由此，模型网关负责控制推理请求如何访问模型，工具网关负责控制智能体如何访问外部能力，智能体网关负责控制任务如何在不同智能体之间受控传递。 
模型网关位于智能体（或智能应用）与大模型服务之间，解决的是“以什么身份、按照什么策略调用哪个模型”的问题。 它可以把不同厂商、不同部署位置和不同接口格式的模型封装成相对统一的访问入口。上层应用不必分别保存各模型服务的访问凭证，也不必针对每一家模型厂商维护完全不同的调用逻辑。 模型网关的基础能力通常包括模型接入与接口适配、访问凭证保护、身份验证、配额和限流、负载均衡、故障重试、模型降级以及调用日志记录。根据产品能力和企业需求，还可以集成词元（Token）费用控制、敏感数据检测和输入输出内容安全等功能。 在配置相应路由策略或者与上层任务编排机制结合后，模型网关可以根据模型能力、调用成本、部署地域、数据要求和运行负载选择或者限制可用模型。 例如，普通文本分类任务可以使用成本较低的模型，复杂分析任务可以路由到能力更强的模型，敏感数据处理则可以限定使用本地或者私有化部署的模型。 但模型网关主要看到的是推理请求，不一定理解完整业务任务。它可以根据调用方指定的模型、预设路由规则或者语义路由结果转发请求，却通常不负责决定合同审查任务应该交给法务智能体还是财务智能体。 ■模型网关的核心，是统一管理应用和智能体对模型服务的访问、路由、使用策略与运行治理。 
智能体与传统大模型应用的重要区别，在于它不仅生成内容，还能够调用外部能力读取信息或者执行操作。 这些外部能力可能包括MCP服务器、API、知识库、搜索服务、受控数据服务、浏览器、文件系统、代码执行环境，以及具有外部执行能力的Skill等。 在实际架构中，工具目录或者注册中心负责登记工具名称、功能、接口、来源和风险属性；工具网关则依据目录信息、调用身份和访问策略，对运行时调用实施身份验证、授权、路由、参数校验、频率限制、结果处理和审计。 工具目录和工具网关可以集成在同一产品中，但二者的逻辑职责不同：工具目录主要解决“有哪些能力”，工具网关主要解决“这些能力能否被调用以及如何被调用”。 ■工具网关的核心，不是判断哪个模型更适合推理，而是判断某个智能体在当前用户、当前任务和当前授权范围内，可以调用哪些外部能力。 1. 在本文分类中，MCP网关属于工具网关 MCP网关可以理解为工具网关中面向模型上下文协议（Model Context Protocol，MCP）的具体实现。可以统一接入和治理MCP服务器提供的工具、资源和提示模板。工具网关的范围更广，除MCP外，还可以管理API、受控数据服务、知识库、浏览器和文件操作等外部能力。因此，可以将MCP网关视为工具网关的一个子集。 2. 不是所有Skill都需要经过工具网关 有些Skill本质上是一组提示指令、知识材料、模板或者处理流程，直接加载在智能体运行时中，不产生外部调用。这类Skill属于智能体自身的能力配置，不一定经过工具网关。只有当Skill访问API、数据、文件、浏览器或者其他外部系统时，其实际外部调用才应进入工具网关或者相应的受控执行通道。 ■Skill决定智能体如何组织和完成任务，工具网关控制具有外部执行能力的Skill可以访问哪些外部资源。 
智能体网关位于总控智能体（或智能应用、用户）和专业智能体之间，解决的是“哪个智能体（或智能应用）可以把什么任务交给哪个智能体”的问题。 它管理的不是一次简单函数调用，而可能是一个具有明确目标、上下文、授权范围和生命周期的任务。 按照智能体间协议（Agent-to-Agent，A2A）的设计，智能体可以通过智能体卡片（Agent Card）描述自己的身份、能力、服务地址、交互方式和认证要求；任务则具有独立标识和状态，并可以支持流式响应、任务取消和异步通知。 从运行时连接角度看，智能体网关主要对智能体（或智能应用）访问其他智能体的流量实施身份验证、授权、路由、协议代理、策略控制和审计。 智能体注册、能力发现、语义选择和任务编排可以由独立的注册中心或者编排引擎完成，也可以与网关集成。智能体网关可以结合智能体目录和编排结果，根据身份、能力、任务类型和授权策略执行调用路由，但不应默认承担全部业务任务拆解和智能体选择职责。 例如，一个总控智能体接收到“分析某项采购计划并形成审核意见”的任务后，可以由编排机制把技术参数分析交给技术评估智能体，把预算合理性分析交给财务智能体，把合同条款检查交给法务智能体。 智能体网关需要验证调用方和被调用方身份，检查此次委派是否符合授权策略，并控制传递的任务和上下文范围。被调用智能体只能获得完成子任务所需的权限，而不能直接继承总控智能体或者用户的全部权限。 对于A2A长任务，智能体网关需要正确代理并观察任务状态、流式响应、取消和异步通知，但权威任务状态通常由被调用智能体或者专门的任务运行时维护。 需要注意的是，智能体网关不等于智能体注册中心，也不等于智能体编排引擎。注册中心负责登记和发现智能体，编排引擎负责拆解任务、安排执行顺序和汇总结果，智能体网关负责对跨智能体通信实施连接、身份、权限、路由、策略和审计。三者可以集成在同一产品中，但逻辑职责不同。 
1. 管理对象不同 2. 调用单位和状态不同 3. 接口和协议不同 4. 安全和审计重点不同 ■模型网关决定推理请求如何进入模型，工具网关决定外部能力能否被调用，智能体网关决定任务能否在不同智能体之间受控传递。 
模型网关、工具网关和智能体网关不仅承担统一接入和调用路由功能，也是智能体体系中的关键安全控制点。 三类网关通过对接身份系统验证调用主体，并依据访问授权和能力控制策略，限定其可以使用的模型、工具和智能体。 通过统一任务标识和审计日志，可以关联模型调用、工具调用和智能体委派过程，形成较完整的任务调用链。在进一步采取日志完整性保护、可信时间记录和留存控制后，相关记录可以为安全审计和责任追溯提供证据支持。 身份认证和访问授权需要分别理解。身份认证解决的是“调用者是谁”，访问授权解决的是“调用者可以做什么”。一个智能体通过身份认证，并不意味着它可以调用所有模型、访问所有工具或者把任务委派给任意智能体。 ■模型网关控制推理访问风险，工具网关控制外部访问与执行风险，智能体网关控制协作与委派风险。 1. 是否还需要独立的AI安全网关 本文所称AI安全网关，是对集中实施AI内容和行为安全检测的一类产品或部署形态的概括，不特指某一种固定技术架构。 模型网关、工具网关和智能体网关按照调用对象划分，分别管理模型推理、外部能力调用和跨智能体协作；AI安全网关则按照安全功能划分，负责对其能够观察到的输入、输出、工具返回和智能体行为进行风险检测与安全处置。 三类网关回答的是“谁可以连接谁、可以调用什么能力”，AI安全网关判断的是“具体交互中是否存在需要告警、阻断或者处置的内容与行为风险”。两类控制相互补充，不能彼此替代。 对于任务偏离、循环调用和异常委派等跨步骤行为，AI安全网关还需要与智能体运行时、编排系统和运行监测机制共享必要的任务上下文。仅能观察单次请求时，其行为风险判断能力会受到限制。 企业可以将AI安全能力内置于三类网关，也可以独立部署AI安全网关，还可以建设统一AI安全控制面，并在模型网关、工具网关和智能体网关中设置分布式安全执行点。 无论采用哪种方式，三类网关自身的身份验证、访问授权、能力控制和审计机制都不能被AI安全网关替代。 ■三类网关负责建立和约束连接关系，AI安全网关负责检查并处置连接过程中出现的内容风险与行为风险。 2. 网关、护栏和沙箱有什么区别 网关、护栏和沙箱关注的是智能体运行中的不同安全维度。 三者分别对应访问边界、语义与行为风险控制以及执行边界，不能相互替代。 从逻辑控制关系看，网关负责验证身份、权限和可访问能力，护栏负责检查具体输入、输出和智能体行为，沙箱负责限制不完全可信代码和工具的执行影响。 三类控制可以部署在不同位置，也可以集成在同一平台中，并不要求形成固定的物理串行链路。 ■网关管“能不能调用”，护栏管“这次调用是否存在可识别的内容或行为风险”，沙箱管“调用后最多能影响什么”。 
三类网关不是相互替代的产品，而是可能同时出现在一条任务链中。 以“分析新发布政策对单位业务的影响并生成报告”为例，用户首先通过AI浏览器或者业务应用提交任务。智能体运行时或者编排引擎拆解任务，并结合智能体目录选择检索智能体、知识分析智能体和专业分析智能体。 智能体网关对这些跨智能体调用实施身份验证、授权和受控路由。每个专业智能体在运行过程中，通过模型网关调用适合的模型，并通过工具网关访问互联网检索服务、内部知识库、受控数据服务和文档生成工具。 如果某个智能体还需要其他专业判断，则由编排机制形成新的委派请求，并再次通过智能体网关完成受控调用。 完整链路可以表述为： ■智能体网关控制跨智能体任务流，模型网关控制推理流，工具网关控制外部能力调用流。 
截至2026年8月，从代表性产品的实践看，模型、工具和智能体流量的网关能力正在出现融合趋势。 这些代表性产品表明，企业可以使用一个统一网关产品承载多类AI流量。但产品功能合并，并不意味着三类治理逻辑可以合并。 ■即使部署在同一个产品中，企业仍需要分别建立模型访问策略、工具和数据访问策略，以及智能体任务委派策略。 
企业建设三类网关时： 首先需要建立相应的资产目录。模型目录应记录模型来源、能力、部署位置和适用数据范围；工具目录应记录工具功能、参数、数据权限和外部副作用；智能体目录应记录智能体能力、开发平台、负责人、版本和风险等级。 资产目录属于控制面，运行时网关根据目录信息和安全策略实施实际访问控制。企业可以采用统一目录，也可以分别建设模型、工具和智能体目录，但需要保持标识和责任信息的一致性。 其次，应建立贯穿用户、智能体、模型和工具的身份链。智能体不能因为代表某个用户执行任务，就自动取得该用户的全部系统权限。 每一次任务委派和工具调用都应携带可验证的授权上下文，并将权限限定在当前任务所需范围内。具备条件时，宜使用范围明确、期限受限的动态凭证，避免智能体直接持有长期凭证。 再次，三类网关宜共享或者传递统一任务标识。模型调用日志、工具调用日志和智能体委派日志只有通过任务标识和链路标识关联，才能还原完整执行过程。 企业还需要区分控制面和运行面。控制面负责资产注册、配置、审批和策略管理，运行面负责实时身份验证、授权、路由、限流和日志采集。 不能把所有安全判断交给智能体或者大模型临时完成。涉及身份、权限、敏感数据和高风险操作的控制，应尽可能使用确定性策略。 ■对于已经存在多个智能体开发平台的单位，可以采用“统一控制面、三个逻辑网关”的建设方式。底层可以使用一个统一产品，也可以由多个产品组合实现，但在架构上仍应明确三类访问对象和三套治理策略。 
1. 把AI网关等同于模型网关 模型网关只是AI基础设施的一部分，无法独立解决工具越权和跨智能体任务委派问题。 2. 把MCP网关等同于全部工具网关 在本文的分类中，MCP网关属于工具网关的协议型实现之一。普通API、受控数据服务和其他执行环境同样需要纳入工具治理。 3. 把所有Skill都当作工具 仅包含提示、模板、知识材料和流程规则的Skill属于智能体内部能力；只有具有外部执行能力的Skill，其外部调用才需要经过工具网关或者受控执行通道。 4. 让工具网关代替业务授权 工具网关可以验证调用身份和工具权限，也可以检查工具参数，但业务系统仍需在最终执行环节校验用户权限和业务规则。 5. 认为智能体网关可以代替注册中心和编排平台 智能体网关主要解决运行时连接和治理问题。智能体登记与发现通常需要目录或者注册中心，任务拆解、流程控制和结果汇总则仍需要智能体运行时或者编排引擎完成。 6. 认为AI安全网关可以代替三类网关的安全控制 AI安全网关主要检查内容和行为风险，不能代替三类网关自身的身份验证、访问授权和能力边界控制。 
随着人工智能应用从“调用一个模型”发展到“组织多个智能体、模型和工具共同完成任务”，企业需要治理的已经不再是单一的模型接口，而是一条完整的智能体执行链。 模型网关解决模型推理的统一接入问题，工具网关解决外部数据与执行能力的受控访问问题，智能体网关解决跨平台智能体调用和任务委派问题。 这三类网关是按照调用对象形成的逻辑分类。企业在架构设计中应分别明确模型、工具和智能体的访问策略，但在物理部署上不必机械地建设三个独立产品。一个统一AI网关可以承载多类流量，多个专业产品也可以共同组成统一控制体系。 无论采用哪种部署方式，都不应因为产品能力融合而混淆三类治理职责。模型访问、外部能力调用和跨智能体协作仍需保持清晰的身份、权限和审计边界。 ■模型网关为智能体提供受控的推理能力，工具网关为智能体提供受控的外部能力，智能体网关为多个智能体提供受控的协作能力。 
参考来源：
一、为什么智能体体系需要三类网关
第一种是智能体（或智能应用）调用大模型。其目的是获得语言理解、推理、生成和多模态处理能力，对应模型网关。 第二种是智能体（或智能应用）调用外部数据、服务和执行能力。例如MCP服务器、具有外部执行能力的Skill、API、受控数据服务、知识库、浏览器和文件系统等，对应工具网关。 第三种是智能体（或智能应用）发现、调用和委派其他智能体。例如，一个总控智能体把合同审查任务交给法务智能体，把预算分析任务交给财务智能体，对应智能体网关。
二、模型网关：统一管理模型推理
三、工具网关：统一管理外部能力
四、智能体网关：统一管理任务协作
五、三类网关的核心区别
模型网关管理模型和推理服务，主要处理智能体（或智能应用）到模型的访问； 工具网关管理工具、数据、资源和业务接口，主要处理智能体到外部能力的调用； 智能体网关管理智能体连接、能力访问和任务委派，主要处理智能体（或智能应用）到其他智能体的调用。
模型网关通常以一次推理请求为基本单位，主要依据指定模型、模型能力、成本、负载和地域进行路由。 工具网关通常以一次工具或者资源调用为基本单位，主要依据工具名称、资源类型和访问权限控制调用，部分协议还可能维护工具调用会话。 智能体网关则以任务、子任务或者会话为基本单位，需要代理或者观察长期、流式和异步任务，并根据目标智能体、能力信息、任务类型和授权策略控制调用。
模型网关主要处理OpenAI兼容接口以及其他模型厂商接口等。 工具网关可以处理MCP、HTTP API及平台专有工具接口等。 智能体网关主要处理A2A及平台专有智能体接口等。
模型网关重点关注模型凭证、推理资源、输入输出数据和费用，主要记录模型、Token、成本、延迟和输出。 工具网关重点关注工具越权、参数风险、数据访问和外部副作用，主要记录工具、参数、数据范围和执行结果。 智能体网关重点关注身份冒用、权限委派、上下文扩散和任务目标偏移，主要记录任务来源、委派链、状态和调用结果。
六、三类网关也是三类安全控制点
模型网关重点控制模型访问、推理资源和输入输出数据，包括模型访问凭证、模型允许清单、Token配额、费用限制，以及按需集成的敏感数据和内容安全策略。 工具网关重点控制外部能力访问、调用参数和操作副作用，包括工具来源验证、工具级授权、参数校验、数据范围限制、操作风险分级，以及对高风险操作进行阻断或者触发人工确认流程。 智能体网关重点控制跨智能体连接、任务委派、上下文传递和权限扩散，防止被调用智能体获得超出子任务需要的权限，或者在多次委派后偏离用户原始目标。
网关负责访问控制，建立模型、工具和智能体之间的受控连接； 护栏负责风险判断，识别输入、输出和智能体行为中可以被检测到的风险； 沙箱负责执行隔离，限制不完全可信代码和工具的运行权限及影响范围。
七、三类网关如何协同完成一个任务
用户发起任务 → 智能体运行时拆解任务并选择专业智能体 → 智能体网关控制跨智能体调用 → 专业智能体通过模型网关获得推理能力 → 通过工具网关访问数据和执行工具 → 必要时继续受控委派 → 汇总结果并返回用户。
八、业内产品为什么正在走向融合
开源项目Agentgateway同时支持模型调用、MCP工具流量和A2A智能体通信，并为智能体到模型、智能体到工具和智能体到智能体的连接提供安全、治理和可观测性。 Amazon Bedrock AgentCore Gateway提供统一的智能体流量入口，既能把API和函数转换成MCP工具，也能代理其他智能体和A2A服务，并支持模型路由。 Kong AI Gateway在模型网关能力基础上增加了MCP和A2A流量支持，可以识别A2A任务信息，实施身份认证、限流、日志记录和链路追踪。 Microsoft Azure API Management也在把模型接口、MCP服务器和A2A智能体接口纳入统一AI网关治理范围，其中部分能力目前仍处于预览阶段。
九、企业如何建设三类网关
十、需要避免的几个认识误区
结语
1.Microsoft Azure：AI Gateway capabilities in Azure API Management
2.Agent2Agent Protocol（A2A）官方规范
3.Model Context Protocol（MCP）官方文档与协议规范