对于依赖梯度估计的攻击（如有限差分类方法），GCD 的混淆方向会让每次查询得到的梯度估计产生系统性偏差，攻击者需要更多查询才能收敛到可用的扰动方向。