对抗样本利用模型决策边界在高维空间中的脆弱性，网络的鲁棒性机制（如归一化、Dropout）对随机噪声有效但对对抗性扰动几乎无效，因为扰动方向正是梯度上升方向。