图 3 展示了从极简到极繁的工具设计光谱。 各系统从一个 bash 工具一直延伸到 109+ 个工具（含媒体处理与通道集成）——Pi 把稀疏端做成一种哲学（内置 7 个工具，默认暴露 4 个，其余皆为扩展），而 Hermes 把通用端推到 69 个内建工具，后面垫一层工具集（toolset）来限定每个平台的模型实际能看到什么。

工具接口从一个几乎没有抽象的极端——Mini-SWE-Agent 把一切都塞进单个 shell 调用（subprocess.Popen(shell=True)，只包了一层以便超时时杀掉进程组）——延伸到丰富的类型化契约。 Claude Code 的 43 个工具各自把校验、权限检查、并发安全与 UI 渲染声明为独立的接口关切。 Codex 用 Rust trait 对象做运行时多态——注册表存储 Arc<dyn CoreToolRuntime>，其中 CoreToolRuntime: ToolExecutor，这一抽象如今被抽成独立的 codex-tools crate，与 code 模式和扩展共享。 Gemini CLI 经一个状态机 Scheduler 路由调用，让每次调用走过确定性的校验 $\to$ 执行 $\to$ 完成/出错阶段。 Mistral Vibe 增加了经 tree-sitter 解析的 bash——一条基于 asyncio.create_subprocess_shell 的执行路径，先用 tree_sitter_bash 校验命令结构再派生进程——以及细粒度权限作用域（命令模式、文件模式、URL 白名单、目录包含）。 Hermes 的单例注册表把注册与暴露分开：69 个工具在导入时自注册，工具集层限定每个平台的模型能看到什么，逐工具的可用性探测（30 秒 TTL 加上一个“上次良好”宽限窗口）避免一次抽风的 docker version 拆掉整个工具集，还有一个纠正模式漂移的强制转换层（"42"$\to$42），动机来自观察到的开放模型输出。 Pi 给它的 7 个工具各配一个可插拔的 Operations 接口（BashOperations、EditOperations……）——这是唯一的远程化接缝，SSH、容器与微 VM 扩展都经它迁移执行，而不用触碰工具本身。 OpenCode 用 Effect schema 注册 17 个第一方工具，并按模型更换工具表面：GPT 家族模型收到 Codex 的 apply_patch DSL 的移植版，并完全失去 edit/write（第 8.4 节）。 这条光谱反映的是简单性与能力的权衡：接口面越大，安全保证越多，但工程成本也越高。

Claude Code 引入了工具延迟加载：标记 shouldDefer = true 的工具被排除在初始系统提示词之外。 LLM 经 ToolSearchTool 按需发现它们，支持关键词搜索与直接选择（select:<tool_name>）。 这显著减小提示词体积：43 个工具中，初始只加载一个核心子集。 延迟工具集经 getDeferredToolsCacheKey() 缓存，集合变化时失效。

4 月版把这一设计呈现为 Claude Code 独有；到 7 月，它已成为带独立实现、正在扩散的模式。 Codex 给工具（默认是 MCP 工具）打上 defer_loading 标记，并暴露一个由工具规格上的 BM25 词法索引支撑的 tool_search 工具——同样的提示词经济学，只是把子串匹配换成了排序检索。 Hermes 用阈值把想法一般化：当 MCP 与插件 schema 超过上下文窗口的 10% 时，它们折叠成三个桥接工具（tool_search/tool_describe/tool_call），由一个内联 BM25 引擎检索。 OpenCode 延迟加载技能（目录只列名称与描述；原生 skill 工具取回正文），并把其实验性 code 模式当作 MCP 目录延迟：与其暴露每个 MCP 工具，不如用一个 execute 工具对目录运行模型写就的脚本。 Mistral Vibe 的 defer_mcp 标志则不同：它只延迟启动时 MCP 的连接以降延迟，而非提示词可见性——一旦接入，每个 MCP 工具对模型都可见，所以我们不再把它归入提示词级延迟模式。

文件编辑是 SWE 智能体的核心动作。 11 个系统实现了八种根本不同的策略，汇总于表 7。

表 8 详细比较各沙箱方案。

Codex 是语料库中沙箱投入最重的，如今打包成专门的 sandboxing crate。 在 Linux 上，它运行 Bubblewrap——自 2026 年年中起源内 vendored 并随树编译，经 C FFI 调用——做命名空间隔离（--ro-bind、--unshare-net、--unshare-user、--unshare-pid），Landlock 降级为特性开关之后的旧版回退。 在 macOS 上，它驱动经 /usr/bin/sandbox-exec 的 Seatbelt 配置。 在 Windows 上，它使用受限令牌进程。 受保护路径（.git、.agents、.codex）即使位于可写根之内，也会被重新标记为只读。 其结果是无需容器运行时开销的操作系统级隔离。