AIエージェントのツール呼び出し設計チェックリスト15項目と失敗例

関数呼び出し（ツール使用）とは、AIが自分では実行できない処理を、あらかじめ用意された関数に任せて結果を受け取る仕組みです。AIエージェントはこの仕組みを土台に、目標達成のためどのツールをどの順で使うかを自分で判断します。

設計者が決めるのは、AIの判断そのものではなく、判断できる選択肢の形です。具体的には次の4つに分かれます。

• ツール定義：名前・説明文・引数の型・返り値。AIが読むのはこの文面だけ。
• 権限と確認ゲート：そのツールで何ができ、何には人の承認が要るか。
• 失敗時の返し方：エラーをどう伝えると、AIが正しくやり直せるか。
• 観測：何が呼ばれ、何が起きたかを後から追えるか。

上から順に確認できるよう、分類・確認すること・満たさないと起きることの3列で並べました。

15項目を一度に満たす必要はありませんが、8番（取り返しのつかない操作の承認）と15番（外部データを指示として扱わない）の2つは、他を後回しにしてでも先に満たしてください。この2つだけが、失敗したときに取り返しがつかない項目です。

操作の種類ごとに、既定の扱いを先に決めておくと、ツールを足すたびに議論しなくて済みます。

承認を挟む位置は「実行の直前」で、承認画面には実際に呼ばれる引数をそのまま出します。要約した文言だけを見せると、承認者は何を承認したのか分からないまま押すことになります。関連する考え方はガードレールにまとめています。

設計の抜けは、決まった形の失敗として現れます。症状から原因を引けるよう整理しました。

最後の2つは OWASP Top 10 for LLM Applications 2025 の LLM01（Prompt Injection）・LLM06（Excessive Agency）・LLM10（Unbounded Consumption）に対応する論点です。攻撃としての詳細はプロンプトインジェクション対策の一覧表 2026にまとめています。

設計上の観点は、次の公開資料の分類に沿って整理しています。

用語の定義は関数呼び出し（ツール使用）・AIエージェント・ガードレールにまとめています。ツールの接続規格そのものはMCPとは何か、複数のエージェントの分担は複数のAIコーディングエージェントをどう役割分担させるか、動かした結果の測り方はLLM評価の指標一覧表をご覧ください。

Q1. ツールは何個まで渡してよいですか？
上限の決まった数字はありませんが、似た機能のツールが並ぶほど選び間違いが増えます。まずは用途ごとに5〜10個へ絞り、選び間違いが起きた組み合わせから統合していくのが現実的です。数を増やすより、1つ1つの説明文を具体的にするほうが効果があります。

Q2. 人の承認を挟むと自動化の意味が薄れませんか？
承認を挟むのは、取り返しのつかない操作だけです。読み取りと内部の書き込みを自動で回せれば作業の大半は自動化できます。削除・送信・支払いだけを承認対象にすると、止まる回数は限られたまま、失敗したときの被害を抑えられます。

Q3. 外部データを読ませるだけなら安全ですか？
安全にはなりません。読み込んだ文章の中に「これまでの指示を無視して〜」といった文が混ざっていると、AIがそれを指示として扱うことがあります。取得した内容はデータとして扱い、指示に見える文字列には従わない設計にしたうえで、権限側でも被害範囲を絞ってください。

この記事は無料で読める入門です。より体系的に、実際に手を動かしながら学びたい方は全12週のシラバスをご覧ください（無料で読めます。成果をお約束するものではありません）。先行案内はこちら。