完整解释、原始数值、素材与实验仍可访问；默认翻页不进入此内容。
现在回看Madry等2017年预印本、ICLR 2018工作。内层固定参数、改变输入，寻找损失更大的允许扰动；外层固定困难输入、更新参数，降低损失。两个变量分清以后再读min–max。PGD只是有限步近似搜索，未找到错误不等于证明所有扰动安全。这一训练时回应利用训练数据与类别目标；接下来改变使用时点，讨论只有模型和无标签输入的部署问题。
现在回看Madry等2017年预印本、ICLR 2018工作。内层固定参数、改变输入，寻找损失更大的允许扰动；外层固定困难输入、更新参数，降低损失。两个变量分清以后再读min–max。PGD只是有限步近似搜索，未找到错误不等于证明所有扰动安全。这一训练时回应利用训练数据与类别目标；接下来改变使用时点，讨论只有模型和无标签输入的部署问题。 Madry等：首次预印本2017-06-19，正式会议ICLR 2018；2019是后续版本日期，不能当作首次提出。