Крис Урмсон не новичок в гонке беспилотников. Когда-то он возглавлял проект Google Self-Driving Car, а сегодня его компания Aurora Innovation первой в США запустила коммерческие перевозки без водителя на магистралях Техаса. К маю 2026 года флот Aurora уже перевозит грузы для FedEx, Uber Freight и Schneider, а аптайм измеряется тысячами миль. Но вот что странно: в мире, где каждый второй стартап клянется end-to-end нейросетями, Урмсон упрямо называет свой стек "verifiable AI". И это не маркетинг.
Verifiable AI — это архитектура, в которой каждый компонент системы может быть формально проверен на соответствие спецификации. В отличие от монолитной нейросети, которая остается черным ящиком.
Чем end-to-end опасен для грузовика
Давайте честно: энтузиасты LLM любят картинку, где одна модель преобразует пиксели в действия. Звучит красиво. Но когда эта модель ошибается — а она ошибается, потому что галлюцинации никто не отменял, — вы не можете сказать, почему. Вы не знаете, какой слой исказил дорожную разметку. Вы не знаете, насколько уверенность была низкой. И уж точно не можете формально доказать регулятору, что система безопасна.
Для физического AI, где цена ошибки — человеческая жизнь, это не вариант. End-to-end модель может идеально проехать 99% маршрута, но на 1% затормозить перед тенью или поехать на красный. И что вы будете делать? Добирать данные? Увеличивать модель? Только вот инженеры Aurora давно поняли: гарантии безопасности не растут log-linear с размером датасета.
Ирония: те же ребята, что пилят end-to-end для роботов, часто сами не садятся в машины без водителя. Потому что понимают — модель может сделать нечто абсолютно неожиданное в нестандартной ситуации.
Как устроен verifiable AI в Aurora
Модульная архитектура Aurora разбита на четыре уровня: перцепция (сенсоры + нейросети для детекции), предсказание поведения других участников, планирование траектории и управление (low-level control). Каждый модуль имеет четкий интерфейс — контракт, который определяет, что входит, что выходит и какие метрики валидны. Эти контракты можно протестировать изолированно, а потом прогнать в симуляции, где за день на симуляционном полигоне Aurora прокручивает десятки тысяч часов.
Например, перцепция использует сверточные сети, но не для того, чтобы сразу рулить. Она выдает список объектов с их координатами и типом. Эти данные идут в предсказатель — классический трекер с вероятностными моделями (не LLM). Планировщик использует hybrid A* и rule-based проверки на коллизии. Ни одна часть не полагается на "силу нейросети" целиком.
Стоит отметить, что железо для таких систем тоже не на коленке собрано — 300 ГБ ОЗУ и несколько GPU, но каждый процессор отвечает за свой модуль, а не за одну монолитную инференс-машину.
Прозрачность vs. черный ящик: уроки XAI
Aurora не просто так вкладывается в объяснимость. Когда сертификаторы из DOT спрашивают "почему грузовик затормозил на пустом месте?", инженеры открывают лог модуля перцепции и видят: ложноположительное срабатывание на пластиковый пакет. Если бы система была end-to-end, такого лога бы не было — только входные пиксели и выходные углы поворота. В своих публичных выступлениях Урмсон прямо ссылается на технологии вроде Explainable AI, которые превращают черные ящики в прозрачные системы. И это не про fancy визуализации, а про формальные трассы решений.
Важный нюанс: даже когда модуль использует нейросеть (например, детектор на YOLOv9+), его выход верифицируется через количественные метрики explainable AI — например, что уверенность превышает 95% и объект не выходит за пределы ROIs логического теста.
Четыре урока для разработчиков физического AI
1. Safety — не фича, а архитектура
В Aurora безопасность закладывается на уровне контрактов между модулями. Например, планировщик никогда не получит команду от перцепции, если та не прошла внутреннюю проверку консистентности. Если вы пишете робота — начните с того, какие гарантии вы даете. Не какой точности модель, а что произойдет, если модель ошибется. Это должно быть закодировано в архитектуре, а не прикручено сверху.
2. Модульность — это щит от неожиданностей
Ошибка в одном модуле не должна положить всю систему. Если детектор пропустил пешехода, предсказатель может среагировать на риск столкновения по косвенным признакам. В PhysicalAgent VLA-модели тоже пытаются разбить задачу на подзадачи — но там это эвристика, а не формальная гарантия. Aurora делает модульность обязательной: интерфейсы тестируются unit-тестами, как в нормальном софте.
3. Не верьте в одну модель, которая все умеет
Даже самые крутые VLA — вроде GR00T N1.7 от NVIDIA — не готовы к safety-критичным применениям без дополнительных механизмов. Эти модели могут генерировать красивые траектории, но не гарантируют их корректность. В Aurora foundation models используются только как предсказатели внутри верифицированных контрактов. Например, перцептивная модель может быть заменена на новую версию, если она проходит тот же набор тестов.
4. Симуляция — твой лучший друг, но только если верифицируешь модули
GM недавно показала, как 50 000 симуляционных лет прогоняются за один день реального времени — и это круто. Но без верификации на уровне модулей симуляция лишь показывает, что end-to-end модель не упала в 99.9% сценариев. Aurora же тестирует каждый компонент на соответствие спецификации, а потом склеивает. Это как тестировать двигатель и тормоза отдельно, а потом вместе — гарантию дает проверка на каждом уровне.
Гибридное будущее
Так что же, end-to-end — это вообще зло? Нет. Для простых задач вроде управления рукой робота на конвейере — может и сработать. Но когда на кону жизни людей и грузовики за 300 000 долларов, хочется открыть капот и понять, что там. Aurora показала, что verifiable AI — не антипод машинного обучения, а его дисциплинированный партнер. Ближайшие годы мы увидим, как модульные верифицированные архитектуры станут стандартом для любого физического AI, который выходит за пределы лаборатории. А те, кто продолжат пихать одну нейросеть во все дырки, рискуют остаться с кучей видео на YouTube и без контрактов с DOT.
