所以在进行对抗训练的时候，只能在有限的训练集的分布中找到对抗样本，然后根据经验将训练集的分布替代整个数据集的分布，这样的分布是不完整的，所以在测试集中不能有好的表现，而如果我们学习整个数据集的真实分布Pdata，那我们就可以训练出一个既适用于训练集，也适用于测试集的分类器，这样的分类器鲁棒性自然而然就提高了）我们可以想象成输入的数据是三维的，但真正表征这个数据的核心特征就是一个二维的，其余的都是维

（我们就是对手，因为我们要训练出攻击模型，我们训练出的攻击模型就是威胁模型）在这种情况下，如果对手仍然可以成功地攻击模型，这意味着攻击策略的鲁棒性。类似地，在CIFAR-10上，我们对基于AdvGAN的ResNet和Wide ResNet应用了相同的半白盒攻击，图3（a）显示了一些对抗性示例，这些示例在感知上是真实的。此外，当我们在不了解现有防御的情况下应用AdvGAN在不同模型上生成对抗性实例时