对抗样本往往同时具备多个类别的属性，例如一张被设计来欺骗分类器的图像可能“看起来像A但伪装成B”。