Sicherheit und Validierung bei Tool-Aufrufen - Phaseo Docs

Behandle vom Modell erzeugte Tool-Argumente als nicht vertrauenswürdige Eingaben.

Sicherheits-Checkliste

Halte Tool-Schemas knapp und eindeutig. Validiere geparste Argumente vor der Ausführung des Tools. Lass nur freigegebene Tool-Namen zu und lehne unbekannte ab. Füge für externe Aufrufe Timeouts und Wiederholungen hinzu. Protokolliere Call-ID, Tool-Name und Validierungsfehler.

Beispiel für Request-Validierung (TypeScript + Zod)

import { z } from "zod";

const WeatherArgs = z.object({
  city: z.string().min(1),
});

function executeToolCall(name: string, rawArgs: string) {
  if (name !== "get_weather") {
    throw new Error(`Unsupported tool: ${name}`);
  }

  const parsed = WeatherArgs.parse(JSON.parse(rawArgs));
  return getWeather(parsed.city);
}

Vorgehen bei Fehlern

Wenn die Validierung fehlschlägt:

Führe das Tool nicht aus.
Gib im nächsten Modell-Turn eine kontrollierte Fehlermeldung zurück.
Bitte das Modell, es mit korrigierten Argumenten erneut zu versuchen.

Hinweis zu Streaming

Tool-Aufrufe im Streaming hängen von Modell und Anbieter ab. Sammle alle Argumentfragmente, bevor du einen Aufruf analysierst, validierst oder ausführst. Siehe Streaming.

Zuletzt geändert am 2. Oktober 2026