Functieaanroepen en toolgebruik zijn de afgelopen jaren van een randverschijnsel uitgegroeid tot de kern van hoe AI-systemen werk uitvoeren: een model roept een zoekfunctie aan, leest een agenda uit, stuurt een e-mail of doet een boeking. In 2025 en 2026 laten nieuwe benchmarks en beveiligingsstudies zien dat deze laag een eigen technisch en organisatorisch risicoprofiel heeft. Correct gestructureerde JSON produceren is niet hetzelfde als je betrouwbaar als agent gedragen.
De aanleiding voor dit artikel is de publicatie van BFCL V4, de nieuwste versie van de Berkeley Function Calling Leaderboard. Deze academisch geïnitieerde benchmark meet niet langer alleen of een model de juiste functie met de juiste parameters aanroept, maar toetst breder agentisch gedrag: interacties over meerdere beurten, live websearch, geheugen over sessies heen, het koppelen van meerdere tools achter elkaar en — belangrijk — het vermogen om géén tool te kiezen wanneer er geen passende functie is.
Wat BFCL V4 daadwerkelijk meet
De verschuiving in BFCL V4 is inhoudelijk relevant. Volgens de analyse van AgentMarketCap.ai wordt de benchmark daar geïnterpreteerd als een verschuiving van de vraag ‘kan dit model een functie aanroepen’ naar de vraag ‘kan dit model zich als betrouwbare agent gedragen’. In die analyse halen frontier-modellen zeer hoge scores op eenvoudige, enkelvoudige calls, maar zakken de prestaties bij complexe multi-turn- en multi-tool-scenario’s. Agentische betrouwbaarheid en het herkennen van irrelevante tools maken nu deel uit van de totaalscore.
Dat verschil is niet academisch. Een geaggregeerd overzicht van BenchLM.ai zet BFCL V4 naast andere tool-use benchmarks en laat zien dat modellen duidelijk uiteenlopen op schema-naleving, parameter-nauwkeurigheid en foutafhandeling. De beoordeling van ‘beste tool-call model’ kent meerdere dimensies: simpel, parallel en multi-turn. De praktische conclusie is dat een organisatie zelf moet bepalen welke van die dimensies in haar eigen risicoprofiel het zwaarst wegen, in plaats van toolgebruik als één ongedeelde capaciteit te behandelen.
Toolgebruik is ook een aanvalsvlak
Prestatie is één kant; veiligheid is de andere. De academische studie Beyond the Prompt: Jailbreaking Function-Calling LLMs via Simulated Moderation, samengevat via MatProof, beschrijft hoe modellen met een functieaanroep-interface via gespecialiseerde aanvalstechnieken tot ongeoorloofde toolcalls kunnen worden gebracht — zelfs wanneer klassieke mitigaties tegen prompt-injectie aanwezig zijn. Anders gezegd: de moderatielaag zelf kan worden misleid.
De auteurs adviseren compliance- en securityteams expliciet om extra validatielagen rond tool-requests te plaatsen, runtime-monitoring op afwijkende functieaanroep-patronen te implementeren en AI-risicoregisters bij te werken met dit specifieke aanvalspad. De boodschap is nuchter: moderatie die uitsluitend in het model zit, is niet genoeg. Er is onafhankelijke controle nodig op wat er daadwerkelijk wordt aangeroepen.
Deze twee lijnen komen samen in het onderzoeksartikel van Zylos AI Research, dat drie krachten benoemt die toolgebruik hertekenen: standaardisatie via protocollen als Anthropic’s Model Context Protocol (MCP), volwassener evaluatie via BFCL V4, en security-druk waarbij prompt-injectie de primaire aanvalsvector is en toolmisbruik het hoofd-attack-surface. Standaardisatie maakt toolinterfaces uniformer, maar betekent tegelijk dat één foutieve functiecall over meerdere backends kan doorwerken.
Van syntactisch correct naar verifieerbaar
Voor professionals die met vertrouwelijke of hoog-trust informatie werken, verschuift de kernvraag daarmee. Niet: ‘produceert het model correcte JSON’, maar: ‘kan ik aantonen hoe, door wie en onder welke voorwaarden toolcalls in mijn AI-landschap plaatsvinden’. Dat vraagt om een verifieerbare keten: welke tools bestaan, welke niet-menselijke identiteiten (agents) mogen welke functies aanroepen, hoe elke call wordt gelogd en hoe afwijkende of risicovolle aanroepen worden getoetst.
Hier past een verificatielaag zoals IamVera.ai. Vera is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag voor professionals die werken met vertrouwelijke of hoog-trust informatie. Vera kan een taak door geselecteerde onafhankelijke AI-modellen laten lopen en verificatiestappen, correcties, meningsverschillen en bronnen zichtbaar maken voor inspectie. Dat ondersteunt controle en overzicht; het is nadrukkelijk geen garantie dat elke autonome actie reconstrueerbaar is of dat hallucinaties zijn uitgesloten. Het eindoordeel blijft bij de gebruiker.
Waar de studies wijzen op de noodzaak van extra lagen rond gevoelige inhoud, past ook de Semantic Privacy Shield: gevoelige documentwaarden kunnen op EU-infrastructuur worden vervangen door synthetische, sessiegebonden equivalenten voordat verwerking plaatsvindt. De workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde modellen te sturen, en is fail-closed — mislukt de privacycontrole, dan wordt het document niet doorgestuurd. Binnen dezelfde beschermde workflow kunnen documenten worden bekeken en bewerkt via Vera Office, dat op Collabora Online draait; de gebruiker houdt daarbij controle over elke wijziging.
Behandel toolgebruik als keten, niet als knop
De rode draad door BFCL V4, de jailbreak-studie en de benchmark-overzichten is consistent: toolgebruik en functieaanroepen zijn geen neutrale infrastructuur. Ze vormen tegelijk het betrouwbaarheidsslot en het primaire aanvalsvlak van agentische AI-systemen. De noveliteit ligt niet in nóg een benchmark, maar in de koppeling van dit soort evaluaties aan security-onderzoek en verificatiearchitectuur.
Voor wie met gevoelige informatie werkt, betekent dat concreet: kies per gebruikstype welke dimensie van toolgebruik telt, leg vast welke agent welke functie mag aanroepen, log wat er werkelijk gebeurt en zorg voor onafhankelijke controle op risicovolle calls. Een verificatieconsole kan daarbij helpen door die keten zichtbaar en toetsbaar te maken — maar het professionele eindoordeel blijft, ook in 2026, mensenwerk.