El malentendido más habitual se desmonta con una frase sacada de la documentación del fabricante: el modelo no llama a la herramienta. Rellena un formulario y dice cuál quiere y con qué parámetros — la llamada de verdad la hace tu código, que luego devuelve el resultado al modelo. El modelo nunca sale del texto.
De ahí sale toda propiedad práctica que importe. El coste: una ronda con llamada a herramienta gasta al menos el triple de tokens que una respuesta simple, porque la petición, el resultado y la redacción final pasan por el modelo cada uno por su lado. El tratamiento de errores: si la herramienta falla, es tu código el que tiene que devolver ese fallo en un formato legible.
La consecuencia de seguridad nace del mismo sitio: la herramienta se ejecuta sin condiciones en cuanto alguien la llama. El límite hay que meterlo, por tanto, en el código de la herramienta y no en el prompt — el modelo solo decide qué botón pulsar.
El mecanismo y los costes los detalla Tool use y function calling, explicado, un artículo aparte. Los conceptos directamente relacionados: function calling, MCP y AI agent.