BRP，如何用“反向构造”让黑盒对抗 Patch 更省查询？

一个训练良好的图像分类模型，看起来已经能够非常准确地识别猫、狗、汽车、交通标志，但只要人为设计一些特殊扰动，就有可能让模型产生完全错误的判断。