ツール: 概要

Tools はエージェントの手です。ツールは、モデルが会話の途中で呼び出せる機能であり、シェルコマンドの実行、HTTP URLの取得、ブラウザを開く、ファイルの書き込み、センサーの読み取りを行います。すべてのツール呼び出しは セキュリティポリシー の対象となります。成功した実行には、レシートが有効な場合に ツールレシート を含めることができます。

ツールは zeroclaw CLI のサブコマンドと混同しないでください。CLI コマンドは運用者向けであり、ツールはエージェント向けです。

エージェントは、参照するスキル、ナレッジ、および MCP バンドルを通じてツールを取得します。バンドルがエージェントにどのようにアタッチされるかについては、Agents を参照してください。プロバイダーのツール呼び出しから承認、ディスパッチ、レシート、オブザーバーイベント、および履歴エントリまでのターンレベルのパスについては、Tool execution lifecycle を参照してください。

組み込みツールを追加する前、または外部統合で置き換える前に、組み込みツールインベントリ を使用して、最小で耐久性のあるホームを選択してください。

組み込みツール

最小限のビルドには以下が含まれます：

組み込み機能と並んで常に登録されます:

条件付きで登録済み:

拡張プロトコル

組み込みツールに加えて、ZeroClawは**MCP**（Model Context Protocol）拡張インターフェースをサポートしています。任意のMCPサーバー（Claude Codeのファイルシステム、Playwright、または独自のもの）に接続すると、エージェントは起動時にそのツールを自動的に取得します。

エディターがサブプロセスとして ZeroClaw を駆動する IDE 側の統合については、ACP を参照してください。Agent Client Protocol は、エージェントが呼び出すツールではなく、受信側のセッション管理面であるため、channels 配下に配置されています。

ツールを作成する

zeroclaw-api で Tool トレイトを実装する:

#![allow(unused)]
fn main() {
#[async_trait]
pub trait Tool: Send + Sync + Attributable {
    fn name(&self) -> &str;
    fn description(&self) -> &str;
    fn parameters_schema(&self) -> serde_json::Value;   // 引数用の JSON スキーマ
    async fn execute(&self, args: serde_json::Value) -> anyhow::Result<ToolResult>;
}
}

すべての Tool は Attributable でもあるため、ツール呼び出しのログ出力や監査トレースには、ランタイムの他の部分で使用されているものと同じ <kind>.<alias> の帰属情報が付与されます。

ランタイムのツールファクトリ経由で登録します。完全なパターンについては、開発 → プラグインプロトコル を参照してください。

ツールをモデルに説明する

ツールの説明は Mozilla Fluent 文字列です。ツールごとに1つで、ロケールごとにローカライズされます。これにより、モデルのコンテキストウィンドウ内ではツールの説明を簡潔に保ちつつ、UIのローカライズを可能にします。

信頼できる情報源: crates/zeroclaw-runtime/locales/en/tools.ftl。翻訳は cargo fluent fill --locale <code> を介して生成・管理されます（Maintainers → Docs & Translations を参照）。

リスクと承認

すべてのツール呼び出しはリスクによって分類されます：

• 低 (読み取り専用、副作用なし): file_read、memory_recall、許可されたドメインへの http_request GET
• Medium（ローカル状態を変更）: file_write、既知の安全なコマンドを使用する shell
• 高 (破壊的またはリモートの副作用): 不明なコマンドを伴う shell、制約のない URL への http_request POST

自律レベル は、各リスクティアがオペレーターの承認なしに実行できる内容を決定します。デフォルト（Supervised）: 低リスクは実行、中リスクは確認要求、高リスクはブロックします。

レシートが有効な場合、実行に成功するとツールレシートが発行されます。拒否、ブロック、置換、失敗、または中断された呼び出しにはレシートは発行されません。

非CLIチャネルでのツールの無効化

スキーマにはチャネルごとの tools_allow / tools_deny フィールドはありません。ツールのゲーティングはエージェントのリスクプロファイル（[risk_profiles.<alias>]）に存在します。

• excluded_tools は、ローカルの CLI はそのままにしつつ、リストに記載されたツールをすべての非 CLI チャネル（Discord、Telegram、Bluesky、Matrix、Slack など）から削除します。粒度はバイナリ（CLI と非 CLI）であり、チャネルごとではありません。また、実行時に解決されるエージェント委任の許可リストからも差し引かれます。これは、下記のルールによって自動的に許可されてしまう個々の <server>__<tool> MCP 名をブロックする唯一の方法です。
• allowed_tools はその逆で、エージェントモードでエージェントが呼び出せるツールの許可リストです（空または省略した場合は認可制約なしを意味し、TOML 設定ではこの 2 つを区別しません）。
• MCP 例外: allowed_tools が空でない場合、実行時に検出された MCP ツール（名前に __ を含むもの、<server>__<tool> 規約）は、個別にリストする必要なく、有効な許可リストに自動的に受け入れられます。これにより、#7464 以降の eager-MCP デフォルトが、既に明示的な許可リストを固定しているエージェントでも利用可能になります。個々の MCP ツールをブロックするには、それらを excluded_tools にリストしてください。
• MCP の例外は、リスクプロファイルの allowed_tools にのみ適用されます。呼び出し元が指定する実行ごとの許可リスト（cron ジョブの allowed_tools、絞り込まれた委任呼び出しなど）は、依然として厳密な明示リストの積集合として扱われます。allowed_tools = ["cron_add"] に自身を絞り込んだジョブは、たとえエージェントのリスクプロファイルによって自動的に許可される場合であっても、指定していない実行時検出の MCP ラッパーを表に出しません。

より細かいゲート制御が必要な場合は、プロファイルの level を read_only または supervised に下げ、プロファイルごとの auto_approve / always_ask リストを使用して、機密性の高いツールをオペレーターの承認の背後にゲート制御してください。

プロファイルごとのフィールドの完全な一覧については、自律性レベルを参照してください。

関連項目も参照してください

• MCP
• ツール実行のライフサイクル
• ACP
• ブラウザ自動化
• セキュリティ → 概要