Micha, Private-AI-Berater bei Pexon Consulting | 8 Min. Lesezeit | 09.09.2026
TL;DR: Pydantic Monty in fünf Sätzen
Pydantic Monty ist ein in Rust geschriebener, sandboxed Python-Interpreter für Code, den ein Modell schreibt. Dateisystem, Umgebung und Netz fehlen, außer Sie übergeben Funktionen oder Mounts. Pexon Consulting (80 MA in Deutschland, ISO 27001, Microsoft Partner) hängt die Runtime an LiteLLM, Kubernetes und Open WebUI. pydantic-monty 0.0.23, Stand 9. September 2026, vor V1.
| Weg | Combined-Latenz | Isolation |
|---|---|---|
| Pydantic Monty | 5 ms | Sprachebene |
| Docker | 900 ms | Container |
| Daytona | 1900 ms | gemanagter Container |
Das Problem: ungeprüfter Modell-Code
Agenten im Code Mode schreiben Python statt einer Kette einzelner Tool-Calls. Das spart Roundtrips. Es erzeugt ein neues Betriebsproblem: der Code ist frisch, niemand hat ihn reviewed, und er will rechnen.
exec() im Prozess ist 0,1 ms und hat keine Isolation. Ein Docker-Start plus zehn REPL-Befehle liegt bei 900 ms. Ein Sandbox-Dienst wie Daytona bei 1900 ms. Die Zahlen kommen von Pydantic, gemessen am 3. September 2026 auf einem Apple M3 Max, nicht aus einem Pexon-Projekt.
Wir raten davon ab, Modell-Python ungeprüft im App-Prozess laufen zu lassen. Das ist kein PoC-Detail, das ist die Angriffsfläche.
Die lange Antwort sitzt nicht in einem zweiten Copilot. Copilot bleibt in Microsoft 365. Pydantic Monty ist kein Word-Add-in und kein Chatfenster.
Was Pydantic Monty ist, und was nicht
Die kurze Antwort: ein Interpreter, kein Produkt für Fachbereiche.
Pydantic Monty implementiert genug Python 3.14, damit ein Modell ausdrücken kann, was es tun will. Vererbung fehlt. Die Stdlib ist ein Ausschnitt. Third-Party-Pakete gibt es nicht. socket, subprocess, multiprocessing, threading und ctypes sind nicht importierbar.
Der Host wird nur über drei Wege erreicht, und alle sind opt-in: Host-Funktionen, gewrappte Host-Objekte, Mounts. Ohne diese drei sieht die Sandbox nichts. Pydantic schreibt das Security Model so: nicht „es ist blockiert“, die Fähigkeit existiert im Bytecode nicht.
Zwei ehrliche Grenzen, bevor jemand „secure“ in die Ausschreibung kopiert.
Erstens: das ist eine Sprach-Sandbox, keine OS-Isolation. Full Monty, das kommerzielle Container-Image, legt OS-Isolation darüber. Das Open-Source-Paket tut das nicht.
Zweitens: Stand 9. September 2026 ist vor V1. Hack Monty Runde 3 läuft, die letzte Runde vor dem Release. pydantic-monty liegt auf PyPI bei 0.0.23. Das Repo pydantic/monty steht bei 8.190 Stars (Abruf 9. September 2026), Lizenz MIT.
Unsere Empfehlung: PoC und Implementierung, kein Fake-GA.
Pydantic Monty führt Code Mode in Pydantic AI aus. Pydantic AI bleibt das Framework. LangGraph bleibt ein vergleichbares Framework. Monty ist die Runtime, nicht der Orchestrator.
from pydantic_monty import Monty
code = """
kcal = nutrition('chocolate bar')['kcal']
hours = kcal * 4184 / (bulb_watts * 3600)
print(f'a chocolate bar powers a {bulb_watts} W bulb for {hours:.1f} hours')
"""
with Monty() as pool:
with pool.checkout() as session:
session.feed_run(
code,
inputs={'bulb_watts': 10},
external_lookup={'nutrition': lambda food: {'kcal': 230}},
)nutrition läuft auf dem Host. Die Sandbox sieht nur den Rückgabewert. Das Beispiel steht so in der README, Stand September 2026.
Wann sich die Sandbox lohnt
Code Mode lohnt sich, sobald das Modell ein kurzes Programm schreiben soll statt fünf einzelner Tool-Calls. Dann brauchen Sie irgendwo, das dieses Programm ausführt.
Wenn volle CPython und beliebige Pakete zählen, bleibt Docker oder ein Dienst. Monty opfert Sprachvollständigkeit für Latenz und Snapshots: dump() schreibt den Interpreter in Bytes, load_snapshot setzt ihn woanders fort.
Wenn niemand eine Allow-List schreiben will, lassen Sie die Finger davon. Was Sie als Host-Funktion übergeben, hat Ihre Prozessrechte. Pydantic sagt das offen. Wir wiederholen es, weil genau dort die Implementierung scheitert, nicht am uv add.
Regulierte Landschaften (Bank, Energie, Pharma) hängen nicht an einem erfundenen Monty-Fall. Sie hängen am bestehenden Compliance-Cluster der Plattform. Die Runtime erbt Klasse, Rechte und Logging. Wir bauen keinen Pharma-Showcase, nur weil das Wort gut klingt.
Wie wir es an Gateway und Cluster hängen
Pexon hängt Monty als Spoke, nicht als zweite Plattform. Modelle, Keys und Spend bleiben am LiteLLM-Gateway. Open WebUI bleibt Chat. Kubernetes trägt Worker. Der Loop bleibt Harness, Monty die Sandbox.
Limits gehören in den Checkout, nicht in den Prompt: max_memory, max_duration_secs, max_recursion_depth. Nach einem Limit die Sitzung verwerfen. Pydantic warnt, dass der Heap danach nicht mehr vertrauenswürdig ist. Wer weiterfüttert, debugt Geister.
Vier Blöcke, ohne Paketpreis.
- Plattform-Check, 45 Minuten: braucht der Agent überhaupt Code Mode?
- PoC:
uv add pydantic-monty, ein Use Case, Allow-List, Limits. - Härten: Full Monty wenn OS-Isolation nötig, Worker auf Kubernetes.
- Betrieb 8×5 der App-Schicht. Kein Rund-um-die-Uhr-Claim.
Das ist Geldverschwendung, wenn Sie nur einen Chat-Pilot wollen. Dann bleiben Sie bei Open WebUI. Monty löst nicht „wir haben noch kein Fenster“.
Die Mutter bleibt die offene KI-Plattform. Dort sitzen Chat, Gateway, Harness und Betrieb. Monty ist eine URL darunter, nicht der neue Hub.
Häufig gestellte Fragen
Was ist Pydantic Monty?
Pydantic Monty ist ein sandboxed Python-Interpreter in Rust für Code, den ein Modell schreibt. Er startet ohne Container. Isolation kommt aus dem Interpreter: ohne Mount und ohne Host-Funktion erreicht die Sandbox Dateisystem, Umgebung und Netz nicht. Pexon Consulting implementiert das auf Ihrer Plattform, Stand vor V1.
Was kostet Pydantic Monty?
Das Open-Source-Paket ist MIT und kostenlos. Full Monty ist das kommerzielle Image von Pydantic, den Preis nennt der Vendor. Pexon nennt keinen Paketpreis. Einstieg ist der Plattform-Check in 45 Minuten. Festpreis nach Scope. Betrieb 8×5.
Pydantic Monty gegen Docker: was gewinnt?
Für Code Mode mit vielen kurzen Feeds gewinnt Monty die Latenz: 5 ms gegen 900 ms. Docker gewinnt die volle Sprache. Wenn Ihr Modell pandas importieren muss, ist Monty die falsche Runtime. Das ist keine Glaubensfrage.
Ist Pydantic Monty ein Copilot oder ein Office-Add-in?
Nein. Monty hat keine Oberfläche für Word, Excel oder Teams. Copilot bleibt, wo Microsoft 365 reicht. Wer eine Fachoberfläche sucht, ist bei eigenen Assistenten, nicht hier.
Wo passt Pydantic Monty nicht?
Volle CPython, beliebige Pakete, oder wenn niemand Allow-List und Limits trägt. Sprach-Sandbox ohne Full Monty ist keine OS-Isolation. Vor V1 kein GA-Claim. Wir versprechen keinen Rund-um-die-Uhr-Support.
Nächster Schritt
Wenn Agenten bei Ihnen Programme schreiben und niemand sagen kann, wo der Code läuft, ist der nächste Schritt kein Tutorial. 45 Minuten Plattform-Check: ob Pydantic Monty an Ihr Gateway gehört.
Verwandte Themen
