A coverless steganography method based on generative adversarial network

摘要

传统的信息隐藏是通过在多媒体中嵌入秘密信息来实现的，但不可避免地会在载体上留下修改痕迹。提出了一种新的无覆盖信息隐藏方法。首先，构造了改进的Wasserstein-GAN（WGAN-GP）模型，并利用伪装图像和秘密图像对模型进行训练。然后，在模型稳定后，将伪装图像传递给生成器。最后，生成器生成视觉上与秘密图像相同的图像，从而实现与发送秘密图像相同的效果。实验结果表明，该方法不仅对秘密信息传输的安全性有很好的效果，而且提高了信息隐藏的容量。

1、介绍

计算机网络技术的飞速发展，使得视频、文本、图像等多媒体信息能够在网络上快速传输。然而，网络提供了信息共享，给人们带来了方便，同时也存在许多安全隐患。信息隐藏技术是现代信息安全的一项重要技术。它是通过将秘密信息隐藏在文本、图像、视频等载体中来传递秘密信息的一种方法。

信息隐藏按其用途可分为隐写术和数字水印。隐写术用于秘密信息的传输，而数字水印用于版权保护等场景。根据隐藏协议，它可以分为无密钥、公钥和私钥三类系统。根据在技术上可分为空域变换域、频域变换域和结构变换域隐写术最简单的隐写算法是最低有效位（LSB）信息隐藏，但它给隐写术留下了一个重要的修改特征图像。与随着隐写术的发展，新的隐写算法可以保持更复杂的图像统计特征，如HUGO。提出了一种对秘密图像进行加密、压缩、最终重构的方案；提出了基于最优迭代BTC的非均匀水印共享的图像篡改恢复方案等。

自适应嵌入策略可以自动将秘密信息嵌入到纹理和噪声丰富的图像区域，从而保持复杂的高阶统计特性功能。在为了对抗更先进的自适应隐写技术，隐写分析中涉及的特征逐渐变得复杂和高维。基于高阶统计特征的图像建模成为近年来研究的主要领域隐写分析.PSRM（投影物种形成丰富模型），基于决策粗糙集α-正区域约简的丰富模型隐写分析特征选择，而其他模型都是基于这样的高阶高维特征，取得了很好的检测效果。

目前，神经网络已经成为各个领域的研究热点。本文将神经网络引入到图像信息隐藏的研究中。首先，建立WGAN-GP模型。然后，将伪装后的图像发送到生成网络，将秘密图像作为真实图像输入到鉴别网络中，利用最大和最小对策对生成网络和鉴别网络进行训练。生成网络尽可能地将真实图像与生成图像区分开来，最后判别网络不能区分真实图像和生成图像，从而获得视觉上与秘密图像相同的生成图像。

我们的工作贡献如下：

–在本文中，WGAN-GP模型是建造。为了首次将WGA-GP模型用于图像信息隐藏，并将图像输入到发生器中，而不是随机噪声。生成的图像在视觉上与秘密图像相同，从而达到与传输秘密图像相同的效果。

–接收者可以使用这个单独的生成网络和接收到的伪装图像生成与秘密图像相同的图像。伪装后的图像在传输过程中不需要任何修改或嵌入操作，有效地避免了隐写分析算法的检测。

–生成的图像在视觉上与机密图像相同。只有伪装图像和相应的生成器才能得到秘密图像，具有很高的安全性。

本文其余部分的组织如下。第二节介绍了几种相关模型。第三节介绍了所提出的方法和实验环境。实验结果和讨论见第4节。最后，结论见第5节。

2、相关工作

生成性对抗网络（GAN）于2014年提出，引起了各领域的广泛关注。新的GAN模型和应用不断涌现。WGAN-GP也是GAN模型的一个衍生品。本文提出用WGAN-GP模型进行图像信息隐藏。

GAN由发生器和鉴别器组成。该发生器用于研究真实图像的分布，生成的图像更真实，这使得鉴别器很难分辨真假。鉴别器要求辨别接收到的图片是真是假。在整个过程中，生成器努力使生成的图像更真实，而鉴别器则努力识别图像的真假，就像一个两人游戏。产生器和鉴别器不断地相互竞争，最终使两个网络达到动态平衡：发生器生成的图像分布学习真实图像的分布，鉴别器无法判断是真图像还是假图像，以及给定图像的预测概率约等于0.5。举个例子可以更直观地解释甘某：制造假币的团伙相当于一台发电机。他们想通过伪造货币来欺骗银行，以便假币能够正常交易。而银行相当于一个鉴别器，它需要判断钱是真钱还是假钱。假币团伙的目的是制造银行无法识别的假币，欺骗银行。银行必须准确识别假币。因此，我们可以总结上述内容：真=1，假=0，鉴别器将标记真实图像的标签为1，生成图像的标签为0；生成的对抗网络结构如图1所示。

图1

 

GANs对生成模型（生成器）和判别模型（鉴别器）的选择没有强制限制。在[25]中，他们使用了多层感知器。例如，作为表示从p（g）生成的映射数据的概率的映射数据，用于表示从p（g）读入到ori的概率的映射数据。因此，优化目标函数定义了如下形式的极小极大：

Minmax在更新鉴别器时最大化（1），在更新生成器时最小化（1）。当生成器更新鉴别器时，最优解为

当生成器更新时，目标函数取全局最小值（当且仅当满足条件pg=p data）。最后两个模型博弈的结果是生成器将创建假数据。鉴别器难以确定由生成器创建的数据是否真实，即D（G（z））=0.5。在GAN中，如果鉴别器训练得太好，生成器将无法获得足够的梯度来继续优化。如果鉴别器训练得太弱，则指标效应不显著，生成器将无法有效地学习。这样，鉴别器的训练就难以控制，这是GAN训练困难的根源。WGAN的出现解决了这个问题。

2.2 Earth mover’s distance（衡量概率分布差异的一种方式，这里是想要衡量真实样本和生成样本之间的差异）

Wasserstein GAN（WGAN）探索了一种更合适的“产生分布差异”的方法。Earth-mover distance（EM），也称为Wasserstein距离，定义如下：

 

是Pr和Pg的所有可能联合分布的集合。对于每一个可能的联合分布，可以从中间样本（x，y）~y中获得一个真实样本x和一个生成的样本y，并计算出该对样本的值x-y，从而可以计算出样本的期望值E（x，y）~y[-x-y|]到联合分布下距离的距离。在所有可能的联合分布中，可从该期望值中提取的下一项定义为EM距离。推土机的意思是推土机的意思。这个名字非常恰当。因为直观地讲，EM距离是用来测量“砂”的Pr桩和“位置”的Pg桩的最小推土成本，其中，伽是一种“推土”方案。

2.3 WGAN

这种神经网络与GAN中的鉴别器非常相似。两者之间只有一些细微的差异，因此被称为批评，以区别于歧视。二者之间的区别在于：

1、最后一层critic抛弃了sigmoid，因为它在一般意义上输出一个分数，与鉴别器输出的概率不同。

2、Critic的目标函数没有log项，这是从上述的派生中衍生出来的。

3、Critic在每次更新后必须将参数截成一定范围内的值，也称为权重剪裁，以保证上述Lipschitz限制。

4、Critic培训越好，generator就越好，所以你可以安全地培训评论员。

虽然数学证明非常复杂，但最终的变化非常简单。WGAN的结构如图2所示：

图2

2.4 Improved training of Wasserstein GANs

WGAN有时会出现样本质量低、收敛困难等问题。为了保证Lipschitz约束，WGAN采用了权重剪裁方法，但权重剪裁带来了二大问题：建模能力减弱和梯度爆炸或消失。在〔26〕中提出的另一种选择是在临界损失中加入梯度惩罚（GP）。新的网络模型称为WGAN-GP。

受WGAN-GP从MNIST数据集中生成手写体字符的启发，本文构造了唯一一个属于图像信息隐藏的发送和接收端的WGAN-GP模型。该方法不使用随机噪声，而是将伪装图像传输到产生器，以产生与秘密图像具有相同意义的图像。本文所用的WGAN-GP模型的结构如图3所示。

图3

待模型稳定后，传递给产生器的变相图像只能产生外观上与秘密图像相同的图像，从而保证了信息的安全性。

3 Experimental

3.1 Experimental environment and data set

从LFW〔31〕数据集中提取的10,000幅图像作为本实验的数据集，其中5,000幅变相图像和秘密图像分别为256×256个灰阶图像。python版本为3.5，tensorflow版本为1.10，GPU为1080。

3.2 Structure of generators and discriminators

在本文中，WGAN-GP模型所用的发生器G在输入层有65,536个神经细胞，在隐层有64个神经细胞，在输出层有65,536个神经细胞。在输入层和隐藏层使用ReLU激活功能，在输出层使用sigmoid激活功能。鉴别器D的输入层有65,536个神经细胞，隐藏层有64个神经细胞，输出层有1个神经细胞。在输入层和隐藏层使用ReLU激活功能。

3.3 Information hiding and extraction process

利用变相图像和秘密图像对模型进行训练。当模型稳定时，生成的图像在视觉上与秘密图像一致。接收端接收到该变相图像，并利用该图像产生器产生与原秘密图像相同的图像，从而获得秘密图像。通过传送伪装图像与传送秘密图像达到相同的效果。整个实验过程如图4所示。

图4

 

 

4 Results and discussion

随着模型迭代次数的增加，生成的图像越来越接近秘密图像。从图4的下例可见，当模型被训练1,000次时，生成的图像为噪声图像。当模型经过5,000至10,000次训练后，可以看到近似的图像内容。当训练次数达到50,000次时，生成的图像在视觉上与秘密图像一致，可以代替秘密图像。变相图像在第一列，原始秘密图像在第六列，模型在不同训练时间下产生的图像在图5的第二至第五列。

图5

在模型稳定的情况下，很难将生成的图像与原始的秘密图像进行区分，从而完全替代秘密图像。实验结果如图6所示，变相图像在第一行，生成的图像在第二行，秘密图像在第三行。

图6

 

除了对生成的图像和秘密图像进行视觉比较外，还从LFW数据集中随机选择了1,000幅图像。我们通过几个例子来分析生成的图像与伪装图像，如图7。

图7

 

为了验证该方法的实用性和推广性，从CelabA〔32〕和ImageNet〔33〕数据集中随机抽取1,000幅图像进行实验验证，并对模型稳定后生成的图像进行直方图分析。如图8和9，变相图像在第一列，秘密图像在第二列，生成的图像在第三列，秘密图像的直方图在第四列，生成的图像的直方图在第五列。

图8

 

图9

 

通过对模型进行变相图像和秘密图像的训练来生成生成器，待模型训练稳定后保存生成器，并构造训练后的生成器与相应的变相图像之间的映射关系。为了证明该方案的安全性，我们使用了伪装图像和经过训练的产生器来获取秘密图像。如图10所示，仅变相图像及相应的生成模型可获得与秘密图像相同的视觉效果。另外，仅获得噪声图像，证明了该方法的安全性。

图10

信息隐藏能力是信息隐藏系统的关键指标之一。该方法通过在不做任何修改的情况下发送变相图像，实现秘密图像的安全传输。接收端通过接收伪装图像并将其传输给训练好的产生器，可以获得与秘密图像相同的视觉图像。该方法提高了信息隐藏能力。信息隐藏容量的定义如公式6所示，并与几种常用的信息隐藏方法在隐藏容量方面进行了简单的比较。比较结果见表1。

表1

 

5 Conclusions

本文按照要求建立了WGAN-GP模型。该模型使用伪装图像和秘密图像进行训练，使传送的伪装图像在视觉上与秘密图像相同。该传输为未经任何修改的变相图像，不易引起攻击方的怀疑。该方法不仅解决了隐写分析算法检测到的问题，而且提高了信息隐藏能力。