Adversarial Training (AT), das allgemein als eine der wirksamsten Methoden zur Abwehr von adversarialen Beispielen gilt, beeinträchtigt häufig erheblich die Standardleistung, wodurch seine Anwendbarkeit in industriellen Skalierungsprozessen und praktischen Anwendungen stark eingeschränkt ist. Überraschenderweise zeigt sich in Aufgaben des Natural Language Processing (NLP) genau das Gegenteil: Hier kann AT sogar die Generalisierungsfähigkeit verbessern. Wir beobachten, dass der Vorteil von AT in NLP-Aufgaben möglicherweise auf dem diskreten und symbolischen Eingaberaum beruht. Um von diesem Vorteil des NLP-artigen AT zu profitieren, schlagen wir Discrete Adversarial Training (DAT) vor. DAT nutzt VQGAN, um Bilddaten in diskrete, textähnliche Eingaben – sogenannte visuelle Wörter – umzuwandeln. Anschließend minimiert es die maximale Risiko auf diesen diskreten Bildern unter Verwendung symbolischer adversarialer Störungen. Wir geben zudem eine Erklärung aus der Perspektive der Verteilung, um die Wirksamkeit von DAT zu untermauern. Als eine plug-and-play-Technik zur Verbesserung visueller Darstellungen erzielt DAT erhebliche Fortschritte bei mehreren Aufgaben, darunter Bildklassifikation, Objekterkennung und selbstüberwachtes Lernen. Insbesondere erreicht ein Modell, das mit Masked Auto-Encoding (MAE) vortrainiert und mit unserem DAT ohne zusätzliche Daten nachtrainiert wurde, eine mCE von 31,40 auf ImageNet-C und eine Top-1-Accuracy von 32,77 % auf Stylized-ImageNet – und damit eine neue state-of-the-art-Leistung. Der Quellcode wird unter https://github.com/alibaba/easyrobust verfügbar sein.