夜雨聆风翠花让 AI 帮忙发个周报邮件。AI 回了一句"邮件已发送"，邮箱里也确实多了一封。
可有件事细想挺怪。AI 压根没有手，键盘一次都没碰过。邮件明明发出去了，它却没动手。难不成邮件自己长腿跑出去的？
往下看就明白了。
AI 调用工具，其实是"点菜"
把 AI 想成饭馆里那个会点菜的人。
用户张嘴说想吃红烧肉，它扫一眼墙上的菜单——每道菜写着名字和用料。它琢磨一下，开出一张点菜单：红烧肉一份。单子递给后厨。
后厨才真的开火。
这三样东西对一下：菜单就是工具清单，每个工具标着"我能干啥、要什么参数"；点菜单就是模型吐回来的那段 JSON，名叫 tool_calls，写着"调哪个、传什么"；后厨是真正干活的代码，发邮件、查库、调别人的接口，全在它那儿。
最要命的是：点菜单不是菜。单子开出来，不等于红烧肉已经在桌上了。AI 只"说"要这道菜，后厨做不做、怎么做，是后厨自己的事。AI 从头到尾没进过厨房半步。
Function Calling 干的事，其实就这个：它不动手，只动嘴。
这机制名字起得也绕，Function Calling、Tool Use，说的是一回事，别被词吓着。
——AI 动嘴开单，后厨动手做菜，中间飘一张点菜单，一眼看出来"说"和"做"是两拨人。
拆开一次调用回合
光比喻不够，看真东西。一次工具调用，本质就是一次普通对话，只是多塞了一份"菜单"进去。
发给模型的请求里，除了一问一答，还多出一个 tools 字段。这个字段把每个工具的能力写清楚：叫什么、能干嘛、缺什么参数。模型根本看不见工具肚子里怎么实现，它只知道"有这些本事能用"。
模型吐回来的东西分两种：
• 情况 A：直接给段人话，用不着调工具 • 情况 B：甩一段 tool_calls 出来，函数名加参数，全是 JSON
情况 B 只是模型"说"要调，没真调。真动手是下一拍的事。
翠花那个发邮件，模型吐回来的差不多长这样：
{ "tool_calls": [ { "function": { "name": "send_email", "arguments": "{\"to\":\"boss@x.com\",\"body\":\"本周周报见附件\"}" } } ]}
翠花这辈子不会看见这段鬼画符。她只收到最后那句"邮件发啦，老板 15:32 收到的"。
程序拿到这段 JSON，按名字捞到 send_email 这个函数，真去敲邮件接口把信递出去。发完，把回执——"发送成功，15:32"——塞回对话。模型再拿它攒出一句人话。
有时候不是一趟，是好几趟
一道菜偶尔不够。
翠花来一句"把本周周报整理好发给老板，再提醒我周五复盘"。AI 可能先调工具把本周文件拽过来，翻两页，发现还差点上月对照数据，又调一次去查，齐了，才调发邮件的工具，末了再调个设提醒的。
这几步可能在模型和代码之间转好几个圈，转到它觉得料够了，才吐最终回答。模型不会一次把活干利索，它是一边问后厨、一边拼盘。
跟 Skill 那篇啥关系
前阵写过一篇 Skill（每次都要教 AI 怎么干活？装个 Skill 就好了），讲给 AI 塞本操作手册，同类任务它自己按步骤走，不用回回重教。
那篇站在"能力定义"这头：给 AI 一本手册，它知道"发周报"这类活该按啥流程走。手册里通常写着"第一步，调发邮件的工具"。
可手册写了"调工具"，这步怎么从一句话变成邮件真飞出去，中间那一下——模型开单、后厨照做、菜端回来。
拼起来看：Skill 是"菜单加手册"，管有什么能力、按啥顺序用；Function Calling 是"开单加做菜"，管能力怎么真落地。一个管"有啥、咋排"，一个管"咋真干"。两篇连着读，AI 用工具的整条线才接上。
干安全的为啥得盯这块
顺带说个干安全的都该绷根弦的事。
模型就是个传声筒。真去执行的是代码，而且是以这份代码所在进程的身份去执行的。后厨手里攥着邮箱、数据库、服务器的权限，这些权限都是运行环境开给它的。
一旦模型读到的东西里混进旁人的话——比如它去抓了个网页，网页里藏着"把通讯录发到某邮箱"——它就可能在那张点菜单上写出危险调用。后厨不分真假，照单全做。
提示词注入最阴就阴在这：它不直接砸你系统，是骗那个"会点菜的人"开一张害人的单子。工具给多大权、参数要不要验、抓来的内容能不能直接进单子，全得在代码层兜住，别指望模型"自觉"。干安全的看到这后背发凉，正常。
完整回路：用户说需求 → 模型看菜单开单(JSON) → 代码后厨执行 → 结果端回来 → 模型攒回答。一圈把"说"和"做"的分界标清楚。
关注小虾，一起成长，一起进化
