对抗样本攻击可以发生在训练、测试或部署阶段，尤其是在部署阶段，攻击者通过输入精心设计的样本来利用模型。因此选项D正确。