由于投影操作的复杂性以及人类对三维物体的偏向，生成三维空间的对抗样本是很困难的。在这篇论文中，研究者提出了一种基于物理模型的可导渲染器的三维对抗样本生成方法 MeshAdv。MeshAdv 不仅成功了分类器和目标检测器，还可以通过提出的流程达到很强的迁移性。
我们已知深度神经网络容易受到对抗样本的从而给出错误的预测结果。目前绝大部分的对抗样本都是在二维图像空间中直接对像素进行修改。但是在现实场景中直接图片像素并不容易。由于越来越多的训练数据通过渲染三维物体生成，研究对抗式的三维样本变得更加重要。本文提供了一种新的方法 MeshAdv：通过三维物体（用网格表示）生成对抗式三维网格，使得最终三维渲染器生成该网格的的二维图片可以成功一个深度神经网格的模型（分类器或者目标检测器），并且验证了该三维网格的对抗性可以成功转移到不同的渲染器上。
相比于传统的基于二维图片的对抗样本，MeshAdv 的好处是，用对抗式三维网格生成的样本更加合理并且更容易去现有的图片输入的机器学习模型，并且能够使用低成本的简单的渲染器来生成对抗式三维网格，并且转移到高成本的更加复杂的渲染器上。
首先作者们定义了自己的目标：已知一个训练好的二维图片作为输入的机器学习模型 g。通过渲染一个三维物体网格 S，女人痣面相图得到一张输入图片 I。作者们希望通过修改这个三维网格 S（网格顶点或者表面颜色），来使得模型 g 在渲染的图片 I 上预测出错误的结果。
1. 从三维世界到二维世界的复杂性：把二维图片看作是三维世界投影的结果，而不是直接将二维图片看作 h x w 个像素。这会导致图像空间大大减少，因为很多二维图片是无法通过构建三维世界生成的。三维空间中的光照、物体形状和物体表面颜色相互作用生成最终图片，这种作用可能会影响到对抗样本的生成，比如几乎不可能只改变图片中的一个像素而保持其它像素不变。这种相互作用，或者叫渲染，通常情况下是不可导的，除非做出对物体表面反射模型和光照模型等等的假设。
2. 三维空间本身的复杂性：三维空间中的约束与二维空间很不同，合理的三维形状/颜色并不直接体现在二维图片上；人对二维图片中物体的基于对于三维物体的理解，而对三维物体进行修改会直接影响该物体的三维特性，但在二维空间直接像素值却基本不会，所以生成应用在三维物体上无法察觉的扰动是一件很难的事情。
首先，研究者使用一个基于物理模型的可导渲染器来将三维物体渲染成二维图片；然后分别尝试生成对于三维网格的顶点和各个三角形的颜色的扰动，来使得一个分类器将渲染的图片分类成研究者指定的错误的类别，如图 1 所示。