课前导读
到这你的智能体已经会按设定干活了，但它还只能用你喂给它的固定资料。这一节讲的是怎么给它"接上外部工具和数据"——让它能去读你的表格、查你的日历，真正嵌进工作流里。这篇约 8 分钟的文章用"USB-C 接口""搭积木"的比方，把 MCP（一种让 AI 连接外部工具的标准）讲明白。这是支线进阶内容，看懂前半段的概念就够了：从第五章起是给开发者看的生产级代码，零基础可以直接跳过，不影响你理解"智能体的能力是可以外接扩展的"。
教学正文
接工具带来的不是"更聪明"，是"能做事"
Agent 靠插件、API、函数、代码解释器、知识库、数据库跟外部世界打交道。阿里云百炼的插件节点能接夸克搜索、计算器、Python 代码解释器，也能自定义；工作流还有脚本、参数提取、函数计算等节点。但要想清楚：接上工具，Agent 不会变聪明，它是变得"能动手"了——能查实时信息、能跑计算、能写进系统、能触发消息。能力边界从"嘴上说"扩到了"手上做"。
正因为能动手，HR 接工具第一件事是权限分级。低风险：公开网页搜索、脱敏表格、制度知识库。中风险：飞书多维表格、招聘进度表、日程读取。高风险：ATS 写入、Offer 发送、薪酬系统、绩效系统、员工关系系统。而且要把"读权限"和"写权限"分开讲——先只读，再加草稿生成，最后才谈写入，任何写入都要有人确认。
一句辨析要记住："接上系统就能自动化"不完整。没有字段映射、异常处理、审批和日志，工具连接只会把错误放大——它把"面试通过"错映射成"已录用"，然后自动写进系统，你会哭。还有法律底线：《个人信息保护法》要求处理个人信息限于最小范围，重大影响的自动化决策，个人有权要求说明并拒绝。
跟我做：用 Dify 或百炼搭一个"只读招聘周报 Agent"
关键词是"只读"——先做不写回任何系统的版本，把安全习惯打进肌肉。
- 备一张脱敏招聘进度表，字段：岗位、阶段、候选人数、面试待反馈数、预计关闭日期、负责人。删掉姓名、电话、简历链接。
- 在 Dify 进 Studio，选 Create from Blank > Workflow；或在百炼创建工作流应用。
- 加输入节点：本周招聘进度表。
- 加文档／表格解析节点或代码解释器节点，读表并统计指标。精确统计交给代码解释器，别让大模型心算
- 加 LLM 节点，提示词：「请根据输入表格生成招聘周报。只读数据，不写回任何系统。输出：关键数据、异常岗位、需面试官反馈事项、下周动作建议。不得输出候选人个人信息。」"只读、不写回"这句现在就写死，别等出事再补
- 加结束节点，返回 Markdown 周报。
- 先别接飞书发送或邮件，人工复制周报。稳定运行一段时间后，再考虑接飞书消息——但发送前必须加人工确认。
读权限和写权限，天差地别
同一个招聘周报 Agent，只读版最坏的结果是"周报算错了，你复核时发现，改一下"；一旦给了写权限、又没做字段映射校验，它把"面试通过"当成"已录用"写进 ATS，候选人状态被改、通知被触发，善后成本高到不敢想。这就是为什么永远"先只读、再草稿、最后才写入，且写入必审"。
本节配套的《MCP 工作原理——像搭积木一样理解 AI 工具连接》（声网，约 8 分钟）把"AI 怎么连工具"讲得很直观，读前半概念就够，第 5 章起代码密集可跳。想再深一层，去「深入一层」看"Agent 权限工程"：HR 要和 IT、法务一起设计最小权限账号、OAuth 授权范围、访问白名单、审批回调、日志留存——理解"能调用"和"能安全调用"之间隔着多远。
一上来就给写权限：错误输出会被直接写进正式系统。先只读，稳定了再加草稿写入。
字段映射错误：把"面试通过"映射成"已录用"这种，后果严重。建字段字典和测试样例，逐一核对。
异常处理缺失：API 失败或字段为空时它还继续生成结论。设失败分支和"停止报告"，别让它带病硬跑。
没有审计日志：出错了分不清是数据、模型还是工具的问题。保留输入、工具调用、输出和人工确认记录。
配套参考资料
声网 · 覆盖 S5-8 · 约8分钟阅读（只读前半概念，第5章起代码密集可跳）
理解 MCP / skills 如何扩展智能体能力。
自测
1给 Agent 接上外部工具后，它会变得更聪明吗？
不会——接工具改变的是"能不能动手"，不是"聪不聪明"。它从只能嘴上说，变成能查实时信息、能算、能写系统、能发消息。正因为能动手，风险也放大了：一个错误判断现在能直接写进 ATS。所以接工具的第一件事不是庆祝能力变强，而是做权限分级、把读写分开。
2为什么"先只读、再草稿、最后才写入"这个顺序不能跳？
因为只读版最坏结果只是"周报算错、复核时改掉"，代价可控；而写权限一旦配上字段映射错误，就可能把"面试通过"写成"已录用"、改到真实候选人状态、触发误通知，善后成本极高。这个顺序本质是"让错误停留在代价最低的阶段"，等只读稳定、字段映射验过了，再逐步放开写入并加人工确认。
3"接上系统就能自动化"这句话缺了什么？
缺了字段映射、异常处理、审批和日志这四样。没有它们，工具连接只会放大错误：字段映射错了会写错数据、没异常处理会带病硬跑、没审批会让错误直达正式系统、没日志则出事无法追溯。自动化不是"连上就行"，而是"连上之后把这四道保险都装好"，这也是"能调用"和"能安全调用"的差距所在。
小结
- 接工具带来的是"能做事"不是"更聪明"——查信息/算/写系统/发消息，能力从嘴上扩到手上
- 第一件事是权限分级 + 读写分开：先只读、再草稿、最后才写入，任何写入都要人工确认
- "接上系统就能自动化"不完整——缺字段映射/异常处理/审批/日志，工具连接只会放大错误
- 守《个保法》最小范围原则；重大影响的自动化决策，个人有权要求说明并拒绝
实操落点
- 这节不用动手写代码，做个"需求梳理"更实在：想一想，如果你那个 HR 助手能直接读到公司的某些数据，它能多干哪些活？比如接上考勤表就能自动答"我这个月还剩几天年假"，接上日历就能帮忙协调面试时间。把两三个"要是它能连上某某数据就好了"的场景写下来。将来和懂技术的同事聊自动化时，这份清单就是你提需求的底稿——你负责想清楚要接什么、干什么，接入的活交给技术。
深入一层 · 实战演练与研究依据
做一个"只读招聘周报 Agent"，先只读再说
Agent 接外部工具，带来的不是"更聪明"，是"能做事"——查实时信息、跑计算、写入系统、触发消息。正因如此，接入顺序必须是：先只读，再草稿生成，最后才考虑写入，任何写入动作都要有人确认。
用 Dify 或百炼做一个只读周报 Agent：准备一张脱敏招聘进度表（岗位、阶段、候选人数、待反馈数、预计关闭日期、负责人，不含姓名电话简历链接），加解析/代码解释器节点读表统计，再加 LLM 节点：「请根据输入表格生成招聘周报。只读数据，不写回任何系统。输出：关键数据、异常岗位、需面试官反馈事项、下周动作建议。不得输出候选人个人信息。」
暂时别接飞书发送，先人工复制周报，稳了再加，且发送前留人工确认。反面教材是一上来就给写权限：它把"面试通过"误映射成"已录用"写进正式系统，这种错比不自动化更贵。
权限分级：读和写要分开讲
阿里云百炼工作流支持插件节点（夸克搜索、计算器、Python 代码解释器）、脚本节点、参数提取节点；Dify 支持连外部知识库直接检索，不必迁移内容。工具越强，越要先分级：低风险——公开搜索、脱敏表、制度知识库；中风险——飞书多维表格、招聘进度表、日程读取；高风险——ATS 写入、Offer 发送、薪酬、绩效、员工关系系统。
这条线有法律依据：《个人信息保护法》要求处理个人信息限于最小范围，且通过自动化决策作出对个人有重大影响的决定时，个人有权要求说明并拒绝仅由自动化决策作出的决定。翻译成 HR 语言——发 Offer、改薪酬、定绩效、处理解除，默认不能让 Agent 独立写入。
五个翻车点
① 一开始就给写权限——先只读，稳了再加草稿写入。
② 字段映射错误——建字段字典和测试样例，别把"面试通过"映射成"已录用"。
③ 异常处理缺失——API 失败或字段为空还继续生成结论，要设失败分支和"停止报告"。
④ 权限边界不清——单独建最小权限账号，别让它读超出任务范围的数据。
⑤ 没有审计日志——保留输入、工具调用、输出和人工确认记录，出错才分得清是数据、模型还是工具的锅。
可复制的接入评审 prompt + 再深一层
接任何工具前先过一遍评审：「你是 HR Agent 工具接入评审员。工具/数据源：{招聘进度表/员工手册知识库/面试官日历/ATS/薪酬系统}。计划用途：{}。请输出：数据敏感等级（低/中/高）、建议权限（不接入/只读/草稿写入/需审批后写入）、需脱敏字段、触发与停止条件、异常处理规则、人工确认节点、日志记录什么、试点前 5 个测试用例。限制：默认不允许 Agent 直接发 Offer、改薪酬、更新绩效、处理解除，遵循最小权限原则。」
再深一层是 Agent 权限工程：HR 要和 IT、法务共同设计最小权限账号、OAuth 授权范围、数据访问白名单、审批回调、日志留存。学有余力可搞清 API 网关、Webhook、函数计算、RPA 的区别，理解"能调用"和"能安全调用"之间的距离。
- 阿里云《工作流应用》，2026
- Dify《Connect to External Knowledge Base》，2026
- 全国人大常委会《中华人民共和国个人信息保护法》，2021