读懂 CustomTool：一个工具协议怎么把约束和调整结构化

这篇讲什么

答案就在这篇要拆的 CustomTool 协议里。

使用者痛点：

• 安全疑虑：担心模型调用工具时会泄露敏感信息或执行危险操作。
• 并发冲突：同一时间多任务修改同一文件导致脏写。
• 上下文爆炸：工具输出过大，令模型注意力分散。
• 幻觉误判：模型忽略错误输出，误认为任务成功。
• 环境依赖：工具在不同机器上的可用性不一致。

OpenAI 的工具调用标准很朴素——只有 { name。description,parameters }，够模型知道 "有这么个工具、怎么调"。但一个工业级 agent 的工具，要回答的问题远不止这些：这个工具危不危险？要不要审批，说起来，结果太长怎么裁？跑完了模型会不会无视报错？老实说，这些全是 OpenAI 标准管不着的。

主要亮点 — DeepSeeker-Code 的 CustomTool 在标准之上扩了五大层字段，把安全、并发、上下文、防幻觉 全套工程能力结构化进了协议。 这一个文件，就是整个工具程序的“宪法”。这篇拆它，

一、先看全貌：五大层字段

快速入口表格

该表按“一个工具从定义到结果回灌”的生命周期，列出五大层各管什么、谁消费、何时生效。 关键点在于- 安全风控层中的三大字段能在调用前就拦截危险操作；- 并发锁能防止脏写，- 输出裁剪与过滤能避免上下文爆炸；- 环境验证与结果校验能杜绝幻觉；- 超时设定虽保留但被刻意放弃，以免误杀合法长任务。

• S 场景 A：读 .env 文件。 safetyLevel=SAFE 。但若命中敏感文件名，而非让模型拿到内容，从根本上消除外泄风险。通过 脱敏内联密钥，将键值替换为 实现双重防线。
• validateEnvironment 返回 false。runAgent 直接隐藏该工具，让模型连“存在”都不知道，从而避免无效调用。

要点: 

• 每个字段都不是孤立配置，而是一整套工业级 agent 必须面对的问题的答案。
• 从暴露给模型到结果回灌，每一步都有明确治理手段。

二、逐层拆解

从执行调度层来看，execute + isSync

最基础两件事——怎么执行、阻不阻塞。

execute: => Promise | AsyncGenerator;isSync: boolean;老实说，