攻击成功率不是目标模型的固有属性，而是目标模型与评分器的联合产物。