工具描述会被模型逐字阅读，属于提示词的一部分而非普通文档；工具投毒攻击正是将恶意指令隐藏在工具描述中。