该论文研究了量子分类器在对抗性扰动下的安全性问题，特别关注基于梯度的测试时攻击在量子场景下的实际成本。传统上，攻击者可以通过自动微分廉价获取梯度（便宜梯度原理），但在变分量子分类器中，由于量子测量存在有限统计噪声（shot noise），每个梯度分量必须通过重复执行量子电路来估算，导致攻击者需要消耗与输入维度相关的测量预算。理论分析表明，在无偏梯度估计规则下，单步攻击至少需要与输入维度d的平方成正比的测量次数（具体为d^{5/2}量级），而迭代攻击的成本更高。仿真实验在高达784维的输入上验证了这一规律：对于缓解了贫瘠高原效应的模型，实际总测量次数遵循d^{5/2}几何下限；对于深度电路（未缓解贫瘠高原），梯度范数随维度衰减，但考虑测量梯度范数后，恢复出d^{3/2}的shot噪声几何。与经典基线（其攻击开销与维度无关）相比，量子梯度成本比随维度增长为d^{3.00}，因此攻击者的相对成本随模型规模发散。在IBM量子处理器（ibm_boston，4量子比特电路，d=12）上的实验复现了这一效应：在匹配预算下，设备上的攻击结果与理想模拟相差仅几个百分点，高测量次数的梯度忠实于精确梯度。该防御机制仅在正向映射经典难以模拟时有效，此时白盒攻击者无法利用“模拟并反向传播”的捷径，必须支付论文所量化的测量成本。适合对量子机器学习安全感兴趣的读者，以及关注量子优势实际应用的研究人员。