Agent 的「手和脚」分三层递进：① Function Calling 让 LLM 以 RPC 客户端身份调工具——tools 数组是接口定义（JSON Schema）、tool_calls 是请求、框架是 runtime、结果按 tool_call_id 原样回填；LLM 只决策、框架只执行，返回的不是「结果」而是「下一步做什么」；② MCP 把工具变成跨进程可复用服务——JSON-RPC over stdio 做传输、tools/list 做发现、tools/call 做调用、mcp__server__tool 前缀做命名空间；代价是多一步服务发现，且连接/断开会让 tools 数组变化、断点前移到请求最前面，System 与已缓存历史整段重算；③ 工具网关统一收口——位置透明层，改一行路由表让工具本地↔远程迁移，Agent 无感；④ 四种权限模型是四种安全深度档位——ML 分类（语义）/ 三层协商（沙箱）/ YAML 守卫（规则）/ Middleware（代码），生产级 L1 黑名单 + L2 语义 + L3 沙箱纵深叠加，检查点放框架层不放 Agent 层；⑤ 关键工程点：描述质量决定选择准确率（真实事故 91%→76%）、单 Agent 10–15 个工具是经验上限、并行执行靠 CAS+Semaphore 防竞态、防 TOCTOU/情绪词绕过/Hook 链顺序绕过。