Pydantic heeft meer macht over je stack dan je denkt

Oorspronkelijk geschreven voor het onderzoeksproject programming-languages-ai-era.

De metafoor die geen metafoor is

Wanneer ik afhankelijkheidsrisico in het cohort rangschik, scoort het stewardship van Microsoft over .NET hoger dan de hele stack Pydantic-plus-Instructor-plus-Outlines. Dat is geen metafoor. Het is een structureel feit op een schaal van 1.0 tot 5.0, en het gat is twee volle punten: .NET 4.5 tegenover Python 2.5, met .NET alleen aan het cohortplafond en Python alleen op de cohortvloer.

De meeste frameworks voor taalkeuze missen dit omdat ze de ecosysteemscore in de kop als één getal behandelen. De dimensie Ecosystem Dependency Risk (afhankelijkheidsrisico van het ecosysteem) splitst de score op naar wie de last draagt. Een 5.0 met Microsoft erachter leest niet hetzelfde als een 5.0 met drie open-source-vrijwilligers erachter, en ik weiger die twee in dezelfde cel plat te slaan. De beslisimplicatie voor een CTO is direct: afhankelijkheidsrisico is een vraag over leveranciersconcentratie, net zoals multi-cloud en multi-region vragen over leveranciersconcentratie zijn, en de lens die senior teams al toepassen op hun blootstelling aan AWS of Azure is de lens die op library-stewardship van toepassing is. Vrijwel geen enkel team past haar toe.

Atlas droeg de hemel en was tenminste een titaan. Het equivalent in het Python-ecosysteem is een validatiebibliotheek met een aantal maintainers dat je op een hand kunt tellen.

Typen backers

De EDR-rubriek scoort dragende afhankelijkheden op backer-mix. Zes categorieën met genoemde voorbeelden:

Stewards van de taal. De organisatie die de canonieke toolchain van de taal levert. Microsoft voor .NET. JetBrains voor Kotlin. Apple voor Swift. Google voor Go. De Python Software Foundation voor Python. De Rust Foundation voor Rust. OpenJDK plus Oracle voor Java. ISO plus de compilers van de grote leveranciers voor C++. Dashbit / Plataformatec voor Elixir.
Commercieel first-party. Een commerciële entiteit die een SDK of library levert die direct aan haar eigen product is gekoppeld, met engineering op naam van het bedrijf. De officiële Python- en TypeScript-SDK’s van Anthropic. De officiële SDK’s van OpenAI. Vercel voor de AI SDK. Hugging Face voor Transformers.
Commercieel third-party. Een commerciële entiteit die een library beheert die meerdere leveranciers omhult. LangChain (LangChain AI). LlamaIndex. De Astral-toolchain (uv, ruff).
Community multi-maintainer. Drie of meer actieve maintainers, geen enkele commerciële backer, terugkerende releasecadans. Pydantic. Serde (Rust). LangChain4j (Java).
Community single-maintainer. Eén persoon draagt de last. Instructor (Jason Liu). Zod (Colin McDonnell). nlohmann/json (Niels Lohmann). llama.cpp (Georgi Gerganov, met groeiend mede-onderhoud).
Onderzoek / academisch. Een universiteit of onderzoekslab als primaire steward. Bumblebee en Nx (onder stewardship van Dashbit, met tooling van onderzoeksniveau eronder).

De categorieën zijn niet stilistisch. Ze beantwoorden de bus-factor-vraag (als de genoemde maintainer of steward morgen stopt met investeren, hoe ziet de last er dan uit?), en de EDR-score voor een taal is het gewogen gemiddelde over haar set dragende afhankelijkheden.

EDR-scores over het cohort

Een dimensie over de tien talen: Ecosystem dependency risk. Hoger is beter.

Taal	EDR	Backer-mix op de dragende laag
.NET (C#)	4.5	Microsoft (runtime, taal, AI-oppervlak, structured-output-oppervlak, MCP)
Java	4.0	OpenJDK multi-vendor (Oracle, IBM, Red Hat, Microsoft, Amazon); LangChain4j
Kotlin	4.0	JetBrains (taal, tooling); kotlinx-serialization
Go	3.5	Google (taal); first-party Go-SDK’s van Anthropic en OpenAI
Rust	3.5	Rust Foundation (multi-vendor); Serde, schemars, candle, async-openai
Swift	3.5	Apple (taal); ecosysteem dun buiten Apple-platforms
TypeScript	3.0	Microsoft (taal); Zod single-maintainer; Vercel commercieel first-party
C++	3.0	ISO plus Microsoft plus GCC plus LLVM (compilers); llama.cpp plus nlohmann/json single-maintainer
Elixir	3.0	Dashbit; instructor_ex port met kleine maintainergroep
Python	2.5	PSF (taal); Pydantic community-multi-klein; Instructor single; Outlines klein-commercieel

Hoe 4.5 eruitziet, is de .NET-rij: de dragende laag is één steward diep, die steward financiert de runtime, de taal, het AI-oppervlak en het structured-output-oppervlak, en onderhoudt mede de MCP C# SDK. .NET staat alleen aan het cohortplafond op EDR, geen andere taal haalt 4.5; de eerstvolgende zijn Java en Kotlin samen op 4.0. De kans op een gecoördineerd falen van de dragende laag is de kans dat Microsoft van .NET afstapt. De base rate is laag.

Hoe 2.5 eruitziet, is de Python-rij: de dragende AI-applicatielaag rust op Pydantic plus Instructor plus Outlines, drie verschillende typen backers op elkaar gestapeld. Python staat alleen op de cohortvloer op EDR, geen andere taal zit onder 3.0; de eerstvolgende laagste zijn TypeScript, Elixir en C++ samen op 3.0. De kans op een gecoördineerd falen van de dragende laag is de kans dat de aandacht van Jason Liu verschuift plus dat de maintainergroep van Pydantic krimpt plus dat de commerciële scope van Outlines verandert: drie onafhankelijke gebeurtenissen met lage kans die samen een betekenisvolle totale blootstelling dragen.

Dit klopt niet als een “klein-commerciële” backer feitelijk op schaal een steward van de taal wordt: Anthropic of OpenAI die first-party schemavalidatieprimitieven levert die de last overnemen die Pydantic, Instructor en Outlines nu dragen. De kans is niet nul, en een van de acht voorspellingen waarop ik beoordeeld zal worden (of Microsoft vóór 2027-11-02 een first-party Anthropic SDK voor .NET levert) is de eerste toetsbare vorm van deze trend.

Implicaties voor CTO’s

Senior teams passen leveranciersrisicodenken al toe op cloudproviders. Multi-region is mitigatie van leveranciersconcentratie. Multi-account is isolatie van de blast radius. Exit-kostenanalyse is de vorm van de vraag in euro’s. Dezelfde lens geldt voor dragende libraries, en vrijwel geen enkel team draait de analyse op library-niveau.

De CTO-vraag aan het architectuurteam is direct: als deze maintainer morgen verdwijnt, hoe ziet mijn stack er dan uit? Laat de vraag over de genoemde libraries lopen.

Als Jason Liu morgen verdwijnt, erft elk team dat structured-extraction-patronen op Instructor heeft gebouwd de onderhoudslast, zonder first-party terugvaloptie. Als Colin McDonnell morgen verdwijnt, zit elk TypeScript-team dat Zod gebruikt voor grensvalidatie, tool-call-typing en structured outputs van de Vercel AI SDK één bus-factor-gebeurtenis verwijderd van een strategisch probleem, en het stewardship van Microsoft over TypeScript strekt zich niet uit tot Zod. Als Georgi Gerganov morgen verdwijnt, zit elk team dat llama.cpp draait voor lokale inferentie in dezelfde positie. Als de maintainergroep van Pydantic krimpt van het huidige aantal naar één, gaat de SOE=5.0-score van Python binnen één revisiecyclus naar 3.0.

Het pragmatische antwoord is op portfolioniveau. Risicomijdende teams dekken dragende libraries met één maintainer af met redundantie op de architecturale naad: ArkType naast Zod, meerdere inferentie-backends achter één interface, typedefinities die een wissel van validatielibrary overleven. Die hedge is het soort ding dat om een alinea in het architecture decision record vraagt. De meeste teams schrijven die alinea niet. Het sterkste bezwaar is “fork het als het breekt.” Dat bezwaar is het moment waarop het team in dezelfde week een CVE-respons, een API-drift upstream en een SDK-wijziging van een frontier-model bezit. Forken is een kostenpost, geen hedge.

Dit klopt niet als het veld van maintainers sneller groeit dan verwacht. Pydantic dat drie of meer actieve maintainers toevoegt is het canonieke geval: als dat landt, gaat de EDR van Python omhoog en trekt de afhankelijkheidsrisico-these zich samen rond de libraries die dat niet deden.

Waar het risico het meest geconcentreerd is

Drie rijen in de matrix dragen geconcentreerde blootstelling aan één maintainer op dragende libraries.

Python is het canonieke geval: drie single points of failure in de AI-applicatielaag (krimprisico bij het aantal Pydantic-maintainers, Instructor met één maintainer, Outlines klein-commercieel). EDR=2.5 is de laagste score op leveranciers-stewardship in het cohort.

TypeScript draagt er één: Zod, één maintainer, binnen het tool-typing-oppervlak van de Anthropic SDK, de structured-output-modus van de OpenAI SDK, de generateObject van de Vercel AI SDK en de eigen grensvalidatie van de applicatie. EDR=3.0 weerspiegelt dat het krediet van Microsoft als steward van de taal een deel van de blootstelling opvangt, maar niet de Zod-specifieke concentratie.

C++ draagt meerdere dragende afhankelijkheden met één maintainer, llama.cpp voor inferentie, nlohmann/json voor de structured-output-rondgang, gekoppeld aan accelerator-runtimes van één leverancier (CUDA, ROCm) die commercieel first-party maar leveranciersgebonden zijn. EDR=3.0 is een gemengd signaal: structurele leveranciersteun op de compilers, concentratie op één maintainer bij de libraries in de applicatielaag.

Het contrast met .NET, Java en Kotlin, allemaal 4.0 of hoger, is de structurele lezing. Talen onder leveranciers-stewardship met ecosysteemlagen onder leveranciers-stewardship dragen minder geaggregeerd afhankelijkheidsrisico dan talen onder community-stewardship met ecosysteemlagen onder community-stewardship, zelfs wanneer de score op de ecosysteem-helft (AIE, SOE) aan de community-kant gelijk of hoger is.

De strategische lezing

Afhankelijkheidsrisico is de dimensie die volgens mij het meest waarschijnlijk als volgende verschuift. De reden is mechanisch: de entiteiten die het meest waarschijnlijk dragende community-libraries overnemen, Anthropic, OpenAI, Microsoft, JetBrains, zijn ook de entiteiten die met de hoogste snelheid in AI-systeemprimitieven investeren. Een door Microsoft geleverde first-party Anthropic SDK voor .NET verschuift AIN en EDR samen. Een door OpenAI geleverde first-party schemavalidatielibrary verschuift SON en EDR samen. Een verbreding van de governance van Pydantic verschuift alleen EDR, maar in de goede richting.

Ik publiceer acht falsifieerbare voorspellingen met datumstempel in stuk 8. Drie dragen direct EDR-signaal. Ofwel Pydantic krijgt vóór 2027-05-02 ten minste drie actieve maintainers erbij, ofwel de score van Python op Ecosystem Dependency Risk beweegt richting 2.0 in de volgende grote frameworkrevisie. Ofwel Microsoft levert vóór 2027-11-02 een first-party Anthropic SDK voor .NET, ofwel het AIN-plafond van .NET blijft op 4.0. Ofwel Apple levert tot en met 2027-05-02 cross-platform Swift AI-SDK’s, ofwel de AIE van Swift blijft op of onder 2.5. Het v1.1-beoordelingsmoment in mei 2027 is wanneer de EDR-cellen de eerste ronde correcties krijgen. Het maintainerschap van Pydantic is het canonieke geval waarop ik beoordeeld zal worden.

Voor CTO’s die in 2026 een architectuurreview draaien: lees de EDR-kolom van de matrix, schrijf de dragende libraries op per type stewardship en stel de bus-factor-vraag. Die vraag is de alinea in het architecture decision record die vrijwel geen enkel team schrijft. Mijn werkaanname is dat de teams die haar wel schrijven een structureel voordeel hebben op de horizon van vijf jaar.

Tot slot

Het stewardship van Microsoft over .NET scoort op de as van afhankelijkheidsrisico hoger dan de hele stack Pydantic-plus-Instructor-plus-Outlines. Pas de lens van leveranciersconcentratie toe op je library-stack zoals je haar toepast op je cloudrekening, en schrijf de alinea in je architecture decision record.

Abonneer je op rutgerhemrika.substack.com voor stuk 7, reachability over het hele cohort, met de gatanalyses per taal achter Reach=4.5 van .NET en Reach=2.0 van C++. Wil je de onderliggende data, claims en bronnen, dan staat het framework open op github.com/hemrika/programming-languages-ai-era.

Rekenen aan leveranciers-stewardship is ook rekenen aan libraries. Doe het voordat je uitlevert.

The IT Crowd bewaarde het Internet in een doosje omdat een single point of failure grappiger is met een lampje erop. Ecosysteemafhankelijkheidsrisico is dat doosje, zonder het lampje.

Verwijzingen

De knipogen en citaten in dit stuk, met hun herkomst:

Greek mythology: Atlas, the Titan condemned to hold up the sky.
The IT Crowd, “The Speech” (2008): the Internet in a box.