Seleção de ferramentas em agentes de IA: como projetar

Mais ferramentas podem piorar a decisão do agente

Um agente de atendimento precisa consultar cliente, pedido, entrega, cobrança e política. Um agente comercial usa CRM, agenda, e-mail, propostas e documentos. Conforme novos processos entram, o conjunto de ferramentas cresce até ocupar contexto, criar nomes parecidos e aumentar a chance de uma chamada inadequada.

Entregar todas as definições ao modelo em cada execução parece simples. A abordagem consome tokens, reduz espaço para dados úteis e expõe capacidades sem relação com a tarefa. Também dificulta explicar por que determinada ferramenta ficou disponível.

A seleção de ferramentas em agentes de IA resolve esse problema em duas etapas. Primeiro, o sistema localiza um conjunto pequeno de capacidades candidatas. Depois, o agente escolhe e usa uma delas dentro das permissões e regras do processo.

Em setembro de 2026, a OpenAI apresentou na Agents API um recurso de busca de ferramentas que carrega definições relevantes sob demanda. O recurso sinaliza uma mudança importante: quando o catálogo cresce, descobrir a capacidade certa passa a ser uma camada própria da arquitetura.

Catálogo, busca e chamada cumprem trabalhos diferentes

O catálogo de ferramentas para agentes de IA registra cada capacidade: verbo, efeito, entradas, saída, identidade, limites, dono, versão e ciclo de vida.

A busca de ferramentas recebe contexto da tarefa e recupera capacidades potencialmente úteis. Ela reduz o catálogo para um conjunto candidato.

A seleção feita pelo agente escolhe a operação adequada dentro desse conjunto. A chamada envia argumentos validados e recebe um resultado estruturado.

A autorização decide se a ação pode ocorrer para aquela identidade, objeto, ambiente e consequência. Ela deve permanecer fora do julgamento livre do modelo.

Uma sequência madura fica assim:

1. identificar a unidade de trabalho;
2. derivar identidade, processo e escopo;
3. filtrar ferramentas inelegíveis por política;
4. buscar capacidades compatíveis com a intenção;
5. carregar poucas definições candidatas;
6. permitir que o agente proponha uma chamada;
7. validar ferramenta e argumentos;
8. autorizar ou bloquear o efeito;
9. executar por identidade restrita;
10. confirmar o resultado no sistema de destino;
11. registrar escolha, chamada e desfecho.

Busca melhora eficiência. Ela não concede autoridade.

Quando a busca de ferramentas se torna necessária

O catálogo já não cabe bem no contexto

Definições de ferramentas incluem descrições, parâmetros, tipos, enumerações, exemplos e regras de uso. Dezenas de contratos consomem uma parte relevante da janela disponível, mesmo quando a tarefa usa apenas duas capacidades.

Carregar sob demanda preserva contexto para histórico, dados, políticas e evidências ligadas ao caso.

Existem capacidades parecidas

buscar_cliente, buscar_contato, buscar_conta, consultar_oportunidade e localizar_titular podem parecer equivalentes sem descrições precisas. Um mecanismo de recuperação pode usar processo, tipo de objeto e efeito para reduzir ambiguidade antes da escolha final.

Vários agentes compartilham uma plataforma

Uma organização pode manter ferramentas para comercial, atendimento, financeiro, operações e suporte interno. O agente deve descobrir capacidades dentro da sua responsabilidade, sem receber o catálogo completo da empresa.

Ferramentas mudam com frequência

Novas versões entram, operações antigas são retiradas e conectores ficam indisponíveis. A camada de descoberta precisa considerar status, ambiente e compatibilidade. Uma descrição semanticamente próxima não basta se a versão está suspensa.

O custo do erro de escolha aumentou

Consultar a fonte errada pode gerar apenas uma resposta incompleta. Escolher uma ferramenta de escrita no lugar de preparação pode alterar cadastro, enviar mensagem ou criar compromisso. Quanto maior a consequência, menor deve ser a liberdade de descoberta.

Comece por metadados operacionais

Busca sem metadados transforma nomes e descrições em autoridade. Cada ferramenta precisa carregar atributos que permitam excluir opções antes do ranking semântico.

Registre pelo menos:

• identificador e versão;
• processo autorizado;
• tipo de unidade de trabalho;
• verbo e objeto;
• classe de efeito;
• leitura, preparação, escrita ou transação;
• dados acessados;
• ambiente;
• identidade exigida;
• aprovação necessária;
• risco;
• status operacional;
• dono e mantenedor;
• compatibilidade;
• custo e prazo esperados;
• data de revisão.

Uma ferramenta suspensa, exclusiva de homologação ou incompatível com a identidade deve sair do conjunto antes de qualquer similaridade textual.

Filtre por política antes de buscar por relevância

O processo costuma conhecer condições que o texto do usuário não informa. O solicitante está autenticado. O caso pertence a determinado cliente. O agente atua em produção limitada. A tarefa permite consulta e preparação, mas bloqueia envio.

Use esses dados para construir um conjunto elegível.

Identidade

Quais capacidades a identidade humana e técnica pode solicitar? O agente não deveria ampliar acesso porque encontrou uma ferramenta com descrição conveniente.

Processo

Ferramentas existem em nome de uma rotina. Um agente que prepara reunião comercial pode consultar oportunidade e agenda. Ele não precisa descobrir alteração de preço apenas porque as duas funções usam o CRM.

Objeto

Permissão pode variar por carteira, cliente, unidade, região ou tipo de registro. A ferramenta elegível para um objeto pode ser proibida para outro.

Ambiente

Homologação e produção possuem destinos, credenciais e efeitos diferentes. A busca precisa usar o ambiente derivado da execução, sem aceitar que o modelo escolha esse campo.

Consequência

Leitura, rascunho, registro reversível, comunicação externa e transação exigem controles diferentes. Filtrar por classe de efeito reduz a chance de uma intenção informativa encontrar uma capacidade destrutiva.

O Zero Trust para agentes de IA aprofunda a verificação contínua por identidade, ação, objeto e contexto.

Modele a consulta de ferramenta com campos estruturados

Usar a mensagem inteira como consulta pode trazer ruído, dados pessoais e instruções maliciosas. Extraia um perfil mínimo da tarefa.

Um perfil pode conter:

processo: continuidade_comercial
unidade: oportunidade
intencao: consultar_historico_e_preparar_proxima_acao
objetos: oportunidade_id_confirmada
efeitos_permitidos: leitura, preparacao
sistemas_preferenciais: crm, agenda
ambiente: producao_limitada
prazo: interativo

Campos de identidade, cliente e ambiente devem vir de contexto autenticado. O modelo pode ajudar a classificar intenção, mas não deve preencher livremente aquilo que define autoridade.

Proteja termos materiais. Um identificador, número de pedido ou código de contrato pode participar da execução depois que a ferramenta foi escolhida, sem precisar entrar no índice de descoberta.

Use recuperação híbrida

A busca pode combinar métodos.

Filtros determinísticos

Eliminam ferramentas fora de ambiente, status, processo, efeito, permissão ou compatibilidade. São a primeira barreira.

Busca lexical

Localiza correspondência por nomes, verbos, objetos, aliases e termos de negócio. Funciona bem para identificadores claros e linguagem estável.

Busca semântica

Ajuda quando a pessoa descreve a intenção com palavras diferentes da ficha da ferramenta. Ela pode aproximar “marcar retorno com o cliente” de uma capacidade chamada criar_proxima_acao.

Regras de preferência

Duas ferramentas podem produzir resultado parecido. A arquitetura pode priorizar fonte oficial, menor efeito, versão estável, menor custo ou integração mais confiável.

Reranking

Um segundo estágio compara os candidatos com o perfil completo da tarefa. Ele deve explicar quais atributos sustentaram a posição, especialmente quando ferramentas possuem efeitos diferentes.

A combinação reduz dois erros. Busca lexical isolada perde variações de linguagem. Similaridade semântica isolada aproxima capacidades que soam relacionadas e possuem autoridades muito diferentes.

Descrições precisam ajudar a excluir

Descrições comerciais como “gerencia clientes de ponta a ponta” parecem atraentes e são ruins para seleção. Uma boa definição informa o que a ferramenta faz e o que deliberadamente não faz.

Compare:

• ampla: “ferramenta para operar oportunidades no CRM”;
• delimitada: “consulta uma oportunidade ativa por ID e retorna estágio, responsável, última interação e próxima ação; não altera campos nem acessa oportunidades fora da carteira autenticada”.

Inclua:

• pré-condições;
• entradas obrigatórias;
• efeito possível;
• exclusões;
• retorno em sucesso;
• estados de erro;
• confirmação exigida;
• situação em que outra ferramenta deve ser usada.

Descrições precisas melhoram recuperação, escolha e auditoria. Elas também expõem sobreposição entre ferramentas que deveria ser resolvida no catálogo.

Carregue o menor conjunto útil

A quantidade ideal varia conforme a tarefa, mas o princípio é estável: apresentar poucas opções claramente distintas.

Um conjunto candidato pode conter:

• ferramenta principal para a intenção;
• alternativa de somente leitura;
• capacidade de preparar rascunho;
• ferramenta de confirmação;
• rota de escalonamento.

Evite carregar cinco versões parecidas sem indicar preferência. Se duas capacidades disputam o mesmo trabalho, defina regra de migração, compatibilidade ou descontinuação.

A busca também pode retornar nenhuma ferramenta. Esse resultado é válido quando o processo não oferece capacidade autorizada. O agente deve informar a limitação ou encaminhar para uma pessoa, sem improvisar com uma ferramenta apenas semelhante.

Separe escolha, argumentos e autorização

Acertar a ferramenta não garante uma chamada segura.

Escolha

O agente indica a capacidade adequada ao objetivo.

Argumentos

Campos são extraídos de fontes autorizadas e validados por schema. Identidade, ambiente, cliente e limites devem ser derivados pelo sistema sempre que possível.

Autorização

A política verifica se aquela chamada pode ocorrer naquele momento. Aprovação, alçada, horário, volume, estado do objeto e reversibilidade entram aqui.

Execução

Um dispatcher chama a integração com credencial restrita, aplica timeout, idempotência e rate limit.

Confirmação

O sistema de destino devolve evidência. Sem confirmação, a unidade permanece pendente ou incerta.

Os guardrails para agentes de IA ajudam a posicionar barreiras antes e depois de cada consequência.

Não deixe conteúdo externo escolher a ferramenta

E-mails, documentos, páginas e mensagens podem conter instruções dirigidas ao agente. Uma frase dentro de um anexo pode pedir acesso a outro sistema, envio de arquivo ou alteração de configuração.

Trate conteúdo recuperado como dado. A consulta de ferramentas deve derivar da tarefa autorizada e do processo, não de comandos encontrados nas fontes.

Controles úteis:

• separar instruções do sistema e conteúdo externo;
• limitar descoberta pela responsabilidade do agente;
• impedir que documentos alterem processo, ambiente ou identidade;
• exigir aprovação para nova classe de efeito;
• bloquear destino e objeto fora do escopo;
• registrar tentativas de expansão;
• testar prompt injection dentro das fontes.

O guia sobre prompt injection em agentes de IA detalha essa classe de ameaça.

Lide com indisponibilidade e mudanças do catálogo

A ferramenta mais relevante pode estar lenta, suspensa ou incompatível com a versão atual. A seleção precisa considerar saúde operacional sem deixar o modelo inventar substituições.

Defina por capacidade:

• alternativa equivalente aprovada;
• alternativa de menor efeito;
• comportamento de espera;
• prazo antes do fallback;
• condição de escalonamento;
• versão compatível;
• tratamento de resultado parcial;
• regra para estado incerto.

Fallback deve preservar intenção e autoridade. Se a ferramenta de escrita está indisponível, consultar e preparar um payload pode ser aceitável. Enviar por outro canal ou usar outra conta pode violar o processo.

Quando uma versão é retirada, atualize índice, caches, exemplos e avaliações. Uma ferramenta ausente do catálogo principal ainda pode reaparecer em memória, instruções antigas ou sessão longa. O controle de mudanças para agentes de IA precisa alcançar essas referências.

Teste a busca como uma etapa própria

Avaliar somente a chamada final esconde falhas de recuperação. Crie um conjunto de tarefas com ferramenta esperada, opções proibidas e resultado correto quando nenhuma capacidade estiver disponível.

Inclua casos como:

• pedido comum com uma ferramenta clara;
• mesma intenção escrita com vocabulário diferente;
• duas ferramentas de nomes parecidos;
• ferramenta correta fora do ambiente;
• versão suspensa;
• identidade sem permissão;
• tarefa de leitura com opção de escrita semanticamente próxima;
• pedido que exige duas ferramentas em sequência;
• ferramenta indisponível com fallback permitido;
• nenhuma ferramenta autorizada;
• instrução maliciosa dentro de documento;
• catálogo com descrição alterada;
• tarefa retomada depois de atualização do índice.

Separe as métricas por etapa.

Recuperação

• ferramenta necessária presente entre os candidatos;
• ferramentas proibidas ausentes;
• quantidade de candidatos;
• nenhuma ferramenta retornada quando esperado;
• versão correta recuperada.

Seleção

• escolha correta dentro do conjunto;
• preferência pela menor consequência suficiente;
• uso de alternativa aprovada;
• ausência de chamada desnecessária.

Execução

• argumentos válidos;
• autorização respeitada;
• resultado confirmado;
• erro interpretado corretamente;
• escalonamento adequado.

Resultado operacional

• unidade concluída;
• tempo e custo;
• correção humana;
• ferramenta trocada manualmente;
• efeito indevido evitado;
• retrabalho criado.

Uma taxa alta de seleção pode esconder recuperação ampla demais. O agente acerta dentro de um conjunto que expõe capacidades proibidas. Trate elegibilidade como gate e relevância como otimização posterior.

Observe deriva de linguagem e uso

Catálogos mudam. Usuários criam novas formas de pedir. Processos alteram nomes e responsabilidades. A qualidade da busca pode cair sem qualquer erro evidente.

Acompanhe:

• consultas sem candidato;
• candidatos rejeitados pelo agente;
• ferramentas carregadas e nunca usadas;
• escolhas corrigidas por pessoas;
• ferramentas proibidas que chegaram ao conjunto;
• concentração excessiva em uma capacidade genérica;
• aumento de candidatos por consulta;
• versões antigas ainda recuperadas;
• latência e custo da descoberta;
• falhas por área, processo e classe de efeito.

Revisões humanas podem enriquecer aliases e exemplos. Não transforme toda correção em regra automática. Primeiro confirme se o problema veio da descrição, do filtro, do índice, do ranking, da instrução ou do próprio desenho redundante do catálogo.

Checklist de seleção de ferramentas

• [ ] Cada ferramenta possui verbo, objeto, efeito e exclusões claros?
• [ ] Processo, identidade, ambiente e status filtram antes da busca?
• [ ] A consulta usa perfil estruturado da tarefa?
• [ ] Identificadores e dados sensíveis ficam fora do índice quando possível?
• [ ] Recuperação combina regras, termos e semântica conforme a necessidade?
• [ ] O ranking prefere a menor consequência capaz de cumprir o trabalho?
• [ ] O conjunto candidato é pequeno e explicável?
• [ ] Nenhuma ferramenta é um resultado permitido?
• [ ] Escolha, argumentos, autorização, execução e confirmação estão separados?
• [ ] Conteúdo externo não altera autoridade nem catálogo elegível?
• [ ] Fallbacks são aprovados por intenção e efeito?
• [ ] Versões suspensas saem de índice, cache e sessões?
• [ ] Testes cobrem ferramentas proibidas e ausência de opção?
• [ ] Métricas separam recuperação, seleção, execução e resultado?
• [ ] Um dono revisa sobreposição, deriva e capacidades sem uso?

A descoberta precisa preservar a arquitetura de autoridade

Catálogos grandes pedem uma forma eficiente de localizar capacidades. Busca lexical, recuperação semântica e carregamento sob demanda podem reduzir tokens e melhorar a escolha do agente.

O ganho só se sustenta quando a descoberta opera dentro das fronteiras do processo. Identidade, ambiente, objeto, efeito e status eliminam ferramentas inelegíveis antes do ranking. Autorização e confirmação continuam governando a consequência depois da escolha.

A camada de busca deve ajudar o agente a encontrar a menor ferramenta capaz de concluir o trabalho. Quando ela apenas torna todo o catálogo pesquisável, a empresa ganha conveniência e perde legibilidade. Seleção útil reduz opções, preserva autoridade e deixa evidência suficiente para corrigir o sistema.

Fonte consultada: OpenAI, Introducing the Agents API, 10 de setembro de 2026.