1. 为什么三个 Agent 工具系统的配置骨架值得放在一起看AI Agent 的工具系统设计说到底就是回答一个问题模型输出一段文字之后谁来把它变成真实操作。语言模型本身只能输出文字你让它“帮我删掉这个目录里的临时文件”它能理解意图能输出一段描述该怎么做的文字但如果没有工具系统它什么也做不了——它没有手碰不到文件系统。工具系统就是连接“模型意图”和“真实操作”的桥梁模型输出 tool_use 块Harness 拦截并解析工具名和参数做权限检查执行工具把结果作为 tool_result 注入上下文模型继续推理。这条链路在 OpenClaw、Claude Code、Hermes Agent 里都成立但配置骨架的差异非常大。OpenClaw 走的是“最大能力、安全靠配置”的路线默认给 Agent 最大的工具权限让用户自己决定收紧到什么程度Claude Code 走的是“工具即契约、权限分三档”每个工具自带风险画像框架按风险级别自动决定执行策略Hermes Agent 则把工具执行当成情景记忆的输入工具系统服务于学习循环同时用六种执行后端把安全下推到基础设施层。这篇文章面向的是需要在本地快速跑通多 Agent 工具链的开发者。我会给出 OpenClaw、Claude Code、Hermes Agent 各自的 config.toml / settings.json 可复制骨架并演示通过统一 Key/API 通道 TaoToken 完成接入与一次工具调用验证。预期目标是让你按配置模板直接复现并确认工具系统可用。适合谁已经装好其中一个 Agent 工具、想横向对比配置差异、或者想用一套 Key 同时驱动多个 Agent 的开发者。2. TaoToken 前置统一 Key 与 API 通道准备在写三个框架的配置之前先把 Key 和 API 通道准备好。三个 Agent 工具系统虽然配置格式不同但底层都是通过 OpenAI 兼容或 Anthropic 兼容的接口去调模型。TaoToken 提供的就是这样一个统一通道你只需要一个 Key就能在 OpenClaw、Claude Code、Hermes Agent 里分别指向同一个 API 入口。官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 这个不加 UTM。注意区分官网用于注册和查看文档API 入口用于配置到 Agent 的 base_url 里。你需要先拿到一个 API Key。进入控制台创建 Key 的路径是 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 创建后复制出来后面三个框架的配置都会用到它。如果你还没决定用哪个模型可以先在模型对话页 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite 里试一下工具调用能力确认模型能正常返回 tool_use 结构再去配 Agent。这里有一个容易踩的坑三个框架对 base_url 的拼接方式不一样。有的框架要求你填到 /v1 结尾有的框架会自动补 /v1如果你填重复了就会变成 /v1/v1 导致 404。下面每个框架的配置里我都会明确写清楚该填什么。提示TaoToken 的 API 入口统一是 https://taotoken.net/api 但不同框架对路径的处理不同。OpenClaw 和 Hermes Agent 通常需要你填完整的 /v1 路径Claude Code 走 Anthropic 兼容协议时填到根即可。以你实际框架版本的文档为准配置完先用第 4 节的验证请求测一次。3. 三个框架的可复制配置骨架3.1 OpenClaw 的 config.toml 骨架OpenClaw 的配置核心是六层级联权限模型全局策略、模型提供商策略、Agent 级策略、群组级策略、沙箱策略、子 Agent 继承规则。工具调用必须通过每一层检查才能执行上层可以限制下层下层不能突破上层约束。这个设计的价值在于不同 Agent 可以有不同权限配置而不是所有 Agent 共享一套规则。下面是一个最小可跑的 config.toml 骨架重点是模型提供商部分指向 TaoToken权限部分先给一个相对收紧的默认值# OpenClaw config.toml 最小骨架 [provider] name taotoken base_url https://taotoken.net/api/v1 api_key sk-你的TaoTokenKey model claude-sonnet-4-6 [global_policy] # 全局默认只读工具自动放行写操作需确认 default_action confirm allow_tools [read, memory_search, memory_get] confirm_tools [write, edit, browser] deny_tools [] [agent_policy.dev] # 开发 Agent 放开文件系统写权限 allow_tools [read, write, edit, memory_search, memory_get] confirm_tools [exec, browser] [agent_policy.mail] # 邮件 Agent 只给邮件相关能力 allow_tools [read, memory_search] confirm_tools [] deny_tools [exec, write, edit, browser] [sandbox] enabled true backend local workdir /Users/you/agent-workspace这里的关键点是 exec 工具。OpenClaw 的 exec 能执行任意 Shell 命令意味着 Agent 可以做操作系统层面能做的一切这既是它强大的根源也是安全风险最集中的地方。rm -rf 也是 Shell 命令。所以我在 dev 策略里把 exec 放进了 confirm_tools而不是 allow_tools。官方文档承认默认情况下 OpenClaw 没有工具权限限制、没有命令白名单、没有审批要求这个宽松默认值降低了入门门槛但代价是大量用户在不知情的情况下运行着一个对本机拥有近乎完整权限的 Agent。所以我的建议是第一次配置就把 exec 设为 confirm别偷懒。OpenClaw 还有一个事件驱动的扩展点工具执行前会触发事件扩展可以订阅这些事件进行拦截。这是正确的架构设计——安全护栏写在程序逻辑里而不是提示词里程序级别的拦截不会被 Prompt Injection 绕过。但这个机制是可选的不是默认启用的你需要主动配置扩展才能激活拦截。如果你的场景涉及多用户或公网暴露务必启用。3.2 Claude Code 的 settings.json 骨架Claude Code 的架构原则是每个工具独立定义自己的 schema、权限级别和执行逻辑没有共享的可变状态。BashTool 和 FileReadTool 在同一个工具注册表里但权限完全不同——Bash 执行可以修改系统状态文件读取是只读的。架构用不同的权限门控来反映这种风险差异而不是对所有工具应用统一策略。Claude Code 把所有工具调用分成三档第一档自动批准只读或天然安全的操作如文件读取、文本搜索、代码导航第二档按需确认修改受控状态的操作如文件编辑、特定 Shell 命令第三档要求明确审批或拦截高风险操作如可能破坏系统状态的 Shell 命令、工作目录之外的文件操作、疑似数据外泄行为。settings.json 骨架如下{ model: claude-sonnet-4-6, env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_API_KEY: sk-你的TaoTokenKey }, permissions: { allow: [ Read, Glob, Grep ], ask: [ Edit, Write, Bash(git status), Bash(npm test) ], deny: [ Bash(rm -rf *), Bash(sudo *), Read(./.env), Read(./secrets/**) ] }, mcpServers: { filesystem: { command: npx, args: [-y, modelcontextprotocol/server-filesystem, /Users/you/agent-workspace] } } }注意 ANTHROPIC_BASE_URL 这里填的是 https://taotoken.net/api 没有加 /v1。Claude Code 走 Anthropic 兼容协议时SDK 会自己拼接 /v1/messages你手动加 /v1 反而会变成 /v1/v1/messages。这是最容易踩的坑之一。关于 MCP 的工具发现Claude Code 有一个值得借鉴的细节连接 MCP 服务器时不会把所有工具的完整 schema 加载进上下文只加载工具名称列表。当任务真正需要某个工具时才加载该工具的完整定义。这和 Skills 的渐进式加载是同一套逻辑先知道“有什么可用”按需再取完整内容。工具越多这个设计的 Token 节省效果越明显。MCP 服务器的推荐上限是 5-6 个活跃服务因为每个服务会启动一个子进程资源有限制。还有一个设计值得关注AgentTool——子 Agent 本身是工具注册表里的一个普通工具。这意味着生成子 Agent 和调用文件读取在架构层面是同一类操作走同样的权限管道受同样的拦截机制约束。不需要单独的 Agent 编排层不需要特殊的进程模型。子 Agent 是工具注册表的一等公民这个设计极大简化了多 Agent 系统的架构复杂度。3.3 Hermes Agent 的 config.toml 骨架Hermes Agent 的工具系统有一个和其他两个框架根本不同的设计出发点工具的执行结果不只是当次任务的输出还是情景记忆系统的输入。当 Hermes Agent 完成一个涉及五次以上工具调用的复杂任务它会分析这次执行过程把成功的路径抽象成 Skill 文档。这意味着工具系统的设计必须支持执行过程的结构化捕获——不只是“执行了什么”还有“为什么这样执行”、“效果如何”。Hermes Agent 内置了 40 多个工具覆盖文件管理、浏览器自动化、终端执行、邮件、日历、网页搜索等。但工具系统里最值得关注的架构设计是六种执行后端local本机直接执行默认、dockerDocker 容器隔离、ssh远程 SSH 执行、daytona云端开发环境、singularityHPC 容器科学计算场景、modalServerless GPU 执行。同样的工具调用可以在不同的隔离级别下执行这把“工具是什么”和“工具在哪里执行”解耦了。配置骨架如下# Hermes Agent config.toml 最小骨架 [llm] provider taotoken base_url https://taotoken.net/api/v1 api_key sk-你的TaoTokenKey model claude-sonnet-4-6 [execution] # 执行后端local / docker / ssh / daytona / singularity / modal backend docker docker_image hermes-agent-runtime:latest workdir /workspace [approvals] # 审批模式manual / smart / off mode smart timeout 60 # 无响应则默认拒绝fail-closed [tools] enabled [ file_read, file_write, file_edit, terminal, browser, web_search, memory_search, memory_get ] [memory] # 工具执行结果作为情景记忆输入 episodic_enabled true skill_extraction_threshold 5 # 五次以上工具调用触发 Skill 抽象Hermes Agent 的审批机制和 OpenClaw 的事件拦截、Claude Code 的权限分档都不同基于模式匹配的危险检测加三种审批模式。执行任何命令前Hermes Agent 对比一个危险模式库——递归删除、权限修改、sudo 使用等都在检测范围内匹配到危险模式就触发审批流程。有几个设计细节值得关注Fail-closed 默认策略超时未响应默认拒绝而不是默认放行在安全设计里这是正确的原则——不确定时选择更保守的行为容器后端绕过当运行在 Docker、Modal 等容器后端时危险命令检查会被跳过因为容器本身就是隔离边界这是一个合理的设计取舍把安全责任从应用层移到基础设施层YOLO 模式全自动不拦截这是为了在受信任的自动化场景下提升效率同时用命名方式让用户意识到这是一个刻意的高风险选择。4. 验证请求确认工具系统真的可用配置写完不代表工具系统能跑。你需要一次真实的工具调用验证确认从模型输出 tool_use 到工具执行再到 tool_result 注入的整条链路是通的。下面用 curl 直接打 TaoToken 的接口模拟一次带工具定义的请求看模型是否正确返回 tool_use 块。curl -s https://taotoken.net/api/v1/messages \ -H Content-Type: application/json \ -H x-api-key: sk-你的TaoTokenKey \ -H anthropic-version: 2023-06-01 \ -d { model: claude-sonnet-4-6, max_tokens: 1024, tools: [ { name: read_file, description: 读取指定路径的文件内容, input_schema: { type: object, properties: { path: {type: string, description: 文件路径} }, required: [path] } } ], messages: [ {role: user, content: 帮我读一下 /tmp/test.txt 的内容} ] }如果工具系统链路正常你会看到返回的 content 数组里有一个 type 为 tool_use 的块name 是 read_fileinput 里带 path 参数。这说明模型正确理解了工具定义并决定调用它。接下来你的 Agent 框架会拦截这个 tool_use执行 read_file把结果作为 tool_result 注入再发一次请求让模型继续推理。如果你用的是 OpenAI 兼容格式部分框架默认走这个请求体换成curl -s https://taotoken.net/api/v1/chat/completions \ -H Content-Type: application/json \ -H Authorization: Bearer sk-你的TaoTokenKey \ -d { model: claude-sonnet-4-6, messages: [ {role: user, content: 帮我读一下 /tmp/test.txt 的内容} ], tools: [ { type: function, function: { name: read_file, description: 读取指定路径的文件内容, parameters: { type: object, properties: { path: {type: string} }, required: [path] } } } ] }返回里如果 finish_reason 是 tool_calls并且 message.tool_calls 数组里有 read_file就说明链路通了。这一步验证通过之后再去跑 Agent 框架的完整流程就能把问题范围缩小到框架配置本身而不是 Key 或 API 通道的问题。5. 本篇常见错排查5.1 base_url 拼接错误导致 404这是最高频的问题。三个框架对 base_url 的处理不一样OpenClaw 和 Hermes Agent 通常需要你填到 /v1 结尾Claude Code 走 Anthropic 兼容协议时填到根即可。如果你在 Claude Code 的 ANTHROPIC_BASE_URL 里填了 https://taotoken.net/api/v1 SDK 会再拼一次 /v1/messages变成 /v1/v1/messages直接 404。排查方法打开框架的 debug 日志看实际发出的请求 URL 是什么对比本文第 3 节的配置。5.2 工具调用返回了但框架不执行模型返回了 tool_use但 Agent 没有执行工具或者执行了但没把结果回传。这通常是权限配置把工具拦掉了。OpenClaw 检查六层级联里哪一层 deny 了Claude Code 检查 permissions.deny 里有没有误伤Hermes Agent 检查 approvals.mode 是不是 manual 且你没在超时内确认。一个快速定位方法把权限临时全开allow 所有工具如果工具能执行了说明是权限配置问题再逐条收紧。5.3 MCP 服务器启动失败或工具列表为空Claude Code 连接 MCP 服务器时如果 command 或 args 写错服务器起不来工具列表就是空的。常见原因是 npx 路径问题或包名拼错。排查方法先在终端手动执行一遍 MCP 服务器的启动命令确认能跑起来再填进 settings.json。另外注意 MCP 服务器推荐上限是 5-6 个活跃服务每个服务会启动一个子进程超过之后资源会紧张表现为部分服务器启动超时。5.4 危险命令审批超时被拒Hermes Agent 的 fail-closed 策略下审批超时默认拒绝。如果你在跑一个长任务中途弹出了审批但你没及时点命令就被拒了任务卡住。排查方法看日志里有没有 approval timeout 的记录。如果你在受信任的自动化场景下可以把 approvals.mode 设为 smart 或 off但 off 就是 YOLO 模式全自动不拦截只在你完全清楚风险时用。5.5 凭证泄漏到工具输出Hermes Agent v0.7.0 做了一次重要的安全加固核心是对凭证泄漏的防御扫描浏览器 URL 和 LLM 响应检测 base64 编码、URL 编码形式的凭证容器执行输出脱敏防止凭证从代码执行结果中泄漏保护目录.docker、.azure、.config/gh文件工具无法访问路径遍历防御阻止 zip-slip 类攻击。如果你用的是旧版本建议升级。另外在配置里把 .env、secrets 目录加进 deny 列表这是最低成本的防护。6. 下一步按你的场景选通道三个框架的配置骨架到这里就齐了。如果你还在排障阶段重点是先把 Key 和 API 通道确认通建议直接去 API Keys 页面 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 创建一个专用 Key再对照接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 核对 base_url 的拼接规则这两步能解决大部分接入问题。如果你只是想先验证模型能不能正确返回 tool_use不用急着配 Agent 框架直接在模型对话页 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite 里贴一段带工具定义的请求看返回结构对不对比在框架里 debug 快得多。如果你是要长期跑编码任务或者搭多 Agent 协作重点看 Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 它针对的就是这种持续调用、多工具链并行的场景。Claude Code 用户还可以参考 ClaudeCodeAnthropic 接入说明 https://taotoken.net/doc/claudecode-anthropic?utm_sourcetaotoken_aicg_blog_endutm_contentclaudecode-anthropicutm_campaignrewrite 里面有 Anthropic 兼容协议的完整配置示例。最后说一个我自己的经验三个框架里OpenClaw 的配置最灵活但也最容易配松Claude Code 的默认值最安全但定制空间小Hermes Agent 的执行后端解耦设计在多环境切换时最省心。你可以先用同一套 TaoToken Key 把三个都跑通一次工具调用再根据实际任务选一个作为主力剩下的作为特定场景的补充。配置模板直接复制本文的骨架改掉 api_key 和 workdir 就能用。