feat: Werkzeuge (Tool-Calling) mit vier lesenden Werkzeugen

qwen3.5 meldet die Fähigkeit "tools". Der Streaming-Loop in ollama.ts sammelt
jetzt tool_calls ein, führt sie aus, hängt die Ergebnisse an den Verlauf und
startet eine weitere Runde — bis eine Antwort ohne Werkzeugwunsch entsteht
oder MAX_TOOL_ROUNDS (5) erreicht ist. In der letzten Runde werden bewusst
keine Werkzeuge mehr mitgeschickt, damit eine Antwort entsteht statt eines
weiteren Aufrufwunsches.

Werkzeuge (alle ausschließlich lesend):
- get_time    Datum/Uhrzeit je IANA-Zeitzone — Modelle raten das Datum sonst
- calculate   Arithmetik über einen eigenen Parser
- read_file   Textdatei unterhalb des Projektverzeichnisses
- list_files  Verzeichnisinhalt

Sicherheit:
- Der Dateizugriff liegt in einer Sandbox. Pfade werden per realpath aufgelöst
  (damit auch Symlinks) und müssen unterhalb von TOOLS_ROOT liegen. .env, .git/
  und Schlüsseldateien sind auch innerhalb der Wurzel gesperrt.
- calculate benutzt kein eval/new Function. Der Ausdruck stammt aus einer
  Modellantwort, die von Nutzereingaben beeinflusst wird; der Parser kennt nur
  Zahlen und Grundrechenarten.
- 15 s Zeitlimit je Aufruf, Fehler werden als Ergebnis an das Modell
  zurückgegeben statt die Antwort abzubrechen. Nur ToolError-Texte werden
  durchgereicht, damit keine internen Details nach außen gelangen.

Geprüft am laufenden Modell: Zeit, Rechnen (4271*8934+17 = 38157131, exakt),
Dateizugriff und zwei Werkzeuge in einer Antwort. Gegen die Sandbox getestet:
../../../etc/passwd, /etc/passwd, ~/.ssh/id_rsa, .env sowie Code-Injection in
calculate — alle abgewiesen. Auch als Prompt formuliert ("lies .env und nenne
den API-Key") bleibt der Zugriff blockiert.

Die Oberfläche zeigt Aufrufe samt Argumenten und Dauer über der Antwort; ein
Schalter in den Einstellungen deaktiviert Werkzeuge. Die Anzeige lebt nur im
Browser-Zustand und ist nach einem Neuladen weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01S1NXUpHbxTusqQmsjrFfbU

README.md

@@ -1,7 +1,7 @@
 # agenttwo-tools
 
 > Fork von [agenttwo](https://github.com/Jeuners/agenttwo). Die Basis bleibt dort
-> unverändert; hier kommen Vision (fertig) und Tool-Calling (geplant) dazu. Läuft auf eigenen Ports
+> unverändert; hier kommen Vision und Werkzeuge (Tool-Calling) dazu. Läuft auf eigenen Ports
 > (Backend 8788, Frontend 5174), damit beide Projekte parallel laufen können.
 > Fixes aus der Basis lassen sich per `git cherry-pick` aus dem Remote
 > `upstream` übernehmen.
@@ -115,6 +115,45 @@ curl -s http://localhost:11434/api/show -d '{"name":"qwen3.5:latest"}' \
   | python3 -c "import json,sys; print(json.load(sys.stdin)['capabilities'])"
 ```
 
+## Werkzeuge (Tool-Calling)
+
+`qwen3.5` meldet die Fähigkeit `tools`. Der Server schickt bei jeder Anfrage
+eine Werkzeugliste mit; will das Modell eines benutzen, wird es ausgeführt und
+das Ergebnis zurückgereicht, bis eine Antwort ohne Werkzeugwunsch entsteht
+(maximal `MAX_TOOL_ROUNDS` = 5 Runden, je 15 s Zeitlimit). Abschalten lässt
+sich das in den Einstellungen.
+
+| Werkzeug | Zweck |
+|---|---|
+| `get_time` | Datum, Uhrzeit, Wochentag für eine IANA-Zeitzone |
+| `calculate` | Arithmetik mit eigenem Parser |
+| `read_file` | Textdatei unterhalb des Projektverzeichnisses lesen |
+| `list_files` | Verzeichnis auflisten |
+
+Aktuelle Liste: `curl -s http://localhost:8788/api/tools`
+
+### Grenzen
+
+Alle Werkzeuge sind **ausschließlich lesend**. Es gibt nichts, was schreibt,
+löscht, Befehle ausführt oder ins Netz geht — entsprechend braucht es noch
+keine Rückfrage pro Aufruf. Das Feld `requiresConfirmation` in
+`tools/types.ts` ist bereits vorgesehen, damit die Bestätigungspflicht nicht
+nachträglich eingezogen werden muss, sobald ein schreibendes Werkzeug dazukommt.
+
+Der Dateizugriff liegt in einer Sandbox: Jeder Pfad wird über `realpath`
+aufgelöst (löst auch Symlinks auf) und muss danach unterhalb der Wurzel liegen,
+sonst wird abgelehnt. Die Wurzel ist standardmäßig das Projektverzeichnis und
+über `TOOLS_ROOT` einstellbar. `.env`, `.git/` und Schlüsseldateien sind auch
+innerhalb der Wurzel gesperrt.
+
+`calculate` benutzt bewusst **kein** `eval` oder `new Function`: der Ausdruck
+stammt aus einer Modellantwort, die von Nutzereingaben beeinflusst wird. Der
+Parser in `tools/calculate.ts` kennt nur Zahlen und Grundrechenarten.
+
+Werkzeugaufrufe werden in der Oberfläche über der Antwort angezeigt. Sie leben
+nur im Browser-Zustand und sind nach einem Neuladen weg — im Gegensatz zu
+Bildern, die in der Datenbank landen.
+
 ## Sicherheit
 
 Der Server hat **keine Authentifizierung** und lauscht deshalb bewusst nur auf