信息隐藏|CRoSS: Diffusion Model Makes Controllable, Robust and Secure Image Steganography

文章来源：

提出问题：目前的图像隐写技术主要集中在基于载体的方法上，这些方法普遍存在泄露秘密图像的风险和对退化隐写图像的鲁棒性差的问题。（安全性和鲁棒性差）

解决问题：受扩散模型最新发展的启发，本文发现扩散模型的两个特性，即无需训练即可实现两幅图像之间的平移，以及对噪声数据的鲁棒性，可用于提高图像隐写任务的安全性和自然鲁棒性。

这是第一项将扩散模型引入图像隐写术领域的工作。

本文主要实现了以下性能：

（1）安全性：通过利用 DDIM 反转技术进行基于扩散的图像转换，确保了转换过程的可逆性。这种可反转的翻译过程实现了无载体的隐写术框架，确保了隐藏图像的安全性。

（2）可控性：条件扩散模型强大的控制能力使容器图像具有很强的可控性，而且扩散模型的生成先验保证了图像的视觉质量；

（3）鲁棒性：扩散模型本质上是高斯去噪器，对噪声和扰动具有天然的鲁棒性。即使隐写图像在传输过程中出现劣化，仍然可以揭示秘密图像的主要内容。

扩散模型（Diffusion Model）是一种生成模型，通过训练从噪声分布中学习目标图像分布。"稳定扩散 是目前最受欢迎和最繁荣的社区之一，它拥有大量免费的开源工具，包括在各种专业数据集上微调的模型检查点。此外，这些社区还提供各种LoRA和ControlNets，用于有效控制稳定扩散生成的结果。LoRAs 通过以低秩方式有效修改一些网络参数来实现控制，而 ControlNets 则引入了一个额外的网络来修改稳定扩散的中间特征以实现控制。上述最新进展增强了本文的 CRoSS框架。

本文方法：（实际上就是一种基于扩散模型的无载体隐写）

（1）安全性：即使隐写图像被其他接收器截获，隐藏的秘密图像也不会泄露。 

（2）可控性：隐写图像中的内容可由用户控制，且视觉质量高。

  (3）鲁棒性：即使退化的隐写图像与隐写图像相比存在偏差，恢复过程仍能产生语义一致的结果（xrev≈xsec）。

可以将隐藏过程视为秘密图像和隐写图像之间的转换，而恢复过程就是隐藏过程的逆过程。

DDIM 定义的扩散模型：一个完整的扩散模型过程由两个阶段组成：前向阶段将噪声添加到干净的图像中，而后向采样阶段则逐步对图像进行去噪处理。

利用扩散模型进行图像翻译目前已提出了大量基于扩散模型的图像翻译方法。在本文的方法中，采用一种简单的方法。首先，假设工作中使用的扩散模型都是条件扩散模型，支持将条件c-作为输入来控制生成结果。以图(a)所示的例子为例，假设要将猫的图像转换成老虎的图像。使用前向过程为猫图像添加噪声，得到中间噪声，然后通过输入条件（prompt="tiger"）控制噪声的后向采样过程，得到新的老虎图像。一般来说，如果将采样条件设为c，条件采样过程可根据公式表示如下：

对于图像平移，需要考虑两个属性：平移前后两幅图像的结构一致性，以及平移过程是否可逆。

DDIM反转实现可逆图像转换DDIM反转如图(b)所示，顾名思义，是指使用 DDIM 实现从图像到潜噪声再到原始图像的转换过程。其思想基于求解常微分方程时的前向和后向微分近似。基于DDI 反演，本文实现了图像与潜噪声之间的可反演关系。只要使用确定性DDIM构建图像转换框架，整个框架就可以通过两个DDIM反演循环实现可逆性。

无载体图像隐写术框架CRoSS 本文的基本框架 CRoSS 基于一个条件扩散模型（其噪声估计器由εθ表示）和两个作为扩散模型输入的不同条件。（选择的扩散模型是条件扩散模型，它支持通过条件输入来控制生成结果）这两个条件可以作为私钥和公钥（用 kpri 和 kpub 表示），如图3所示，具体工作流程在 Algo.1 和 Algo.2 中描述。分两部分介绍整个 CRoSS 框架：隐藏过程和揭示过程。

隐藏阶段的过程在隐藏阶段，尝试使用确定性DDIM的前向和后向过程在秘密图像和隐写图像之间进行平移。为了使平移前后的图像不同，在前向和后向过程中分别使用不同条件的预训练条件扩散模型。这两个不同的条件也是CRoSS框架中的私钥和公钥。具体来说，前向过程使用私钥kpri，而后向过程使用公钥kpub。获取隐写图像后，它将在互联网上传输，并向所有潜在接收者公开。

私钥和公钥在CRoSS框架中的作用在 CRoSS 中，给定条件在实际使用中可以充当密钥。私钥用于描述秘密图像中的内容，而公钥用于控制隐写图像中的内容。对于公钥来说，它与隐写图像中的内容相关联，因此即使没有通过网络手动传输，接收方也能根据接收到的隐写图像猜测到它（如图情景#2 所述）。至于私钥，它决定了接收者能否成功恢复原始图像，因此不能通过公共信道传输。

恢复阶段的过程在揭示阶段，假设隐写图像已通过互联网传输，并可能已损坏为x′cont，接收者需要使用相同的条件扩散模型和相应的密钥，通过相同的正向和反向过程将其恢复为秘密图像。在整个无载体图像隐写过程中，本方法不会专门针对图像隐写任务训练或微调扩散模型，而是依靠DDIM反转所保证的固有可反转图像转换。

CRoSS保证的安全性人们可能会提出一些有关安全性的问题，例如：如果私钥被接收者猜到怎么办？隐写图像是否意味着可能隐藏的秘密图像？我们从两个方面来澄清这些问题：（1）由于恢复图像是由扩散模型生成的，因此无论输入的私钥是否正确，恢复图像的视觉质量都相对较高。接收方可以通过穷举法猜测私钥，但无法从一堆候选恢复图像中判断哪张回复图像才是真正的秘密图像（如场景 #1 所述）。(2)由于隐写图像也是由扩散模型生成的，其视觉质量由扩散模型的生成先验保证。此外，与在隐写图像中明确存储线索的基于载体的方法不同，CRoSS中的隐写图像不包含任何可被检测或用于提取秘密图像的线索。因此，接收方很难发现隐写图像中隐藏了其他图像，也很难通过某种检测方法揭示秘密图像（场景3所述）。

实验设置：采用Stable Diffusionv1.5作为条件扩散模型，并使用了确定性DDIM采样算法。

基准方法:比较过的方法包括RIIS、HiNet、Baluja和ISN。

数据集：收集了总共260幅图像的基准数据，并生成了专门为无载体图像隐写术定制的相应提示密钥，命名为Stego260。将数据集分为三类，即人类、动物和一般物体（如建筑、植物、食物、家具等）。数据集中的图像来自公开的数据集和谷歌搜索引擎。在生成提示密钥时，我们使用BLIP生成私钥，并使用 ChatGPT 或人工调整来执行语义修改并批量生成公钥。

安全性实验：包括两个方面：在视觉上不被人怀疑，以及对隐写分析攻击的抵御能力。

最新SID的深度隐写分析结果；不同方法在 StegExpose检测器下的召回曲线

NIQE（一种无参照图像质量评估 (IQA) 模型，用于测量图像的自然度和视觉效果）表示隐写图像的视觉质量，越低越好。一种方法的检测率越接近50%，该方法就越安全，因为这表明其输出结果与随机概率无异。最佳结果为红色，次佳结果为蓝色。反分析安全性通过三种隐写分析模型XuNet、YedroudjNet和KeNet进行评估，检测精度越低，安全性越高。

可控性实验：为了验证所提出的CRoSS的可控性和灵活性，框架中加入了各种类型的私钥和公钥，如提示符、ControlNets和LoRAS。如图所示，框架能够根据用户提供的 "Prompt2 "有效地将秘密图像隐藏在隐写图像中，而不会出现明显的伪影或不真实的图像细节。隐写图像允许无缝修改人的身份信息、面部属性，如动物种类。这两个提示的概念也会有很大不同，如埃菲尔铁塔和一棵树，从而增强了容器图像的隐藏能力和隐蔽性。同时，使用" Prompt1 "提取的恢复图像保真度高，准确保留了秘密图像的语义信息。

除提示外， CRoSS 还支持利用其他各种控制条件作为密钥，如深度图、涂鸦和分割图。如图 7 所示，我们的方法可以有效地隐藏和揭示秘密图像的语义信息，而不会明显影响整体视觉质量或引起怀疑。

鲁棒性实验：

模拟退化为验证鲁棒性，对高斯噪声和JPEG压缩等模拟退化进行了实验。如表2所示，CRoSS 对各种程度的劣化都有很好的适应性，性能下降极小，而其他方法的保真度会显著下降（PSNR 下降超过 20dB）。同时，方法在 σ = 20 和 σ = 30 时实现了最佳 PSNR。此注意到 RIIS完全是在降级数据上训练出来的，但我们的 CRoSS 却能以零镜头的方式天然抵抗各种降级，并在大多数情况下优于RIIS。

真实退化：进一步选择了 "微信 "和 "拍摄 "这两种真实世界降级。具体来说，通过微信的管道发送和接收隐写图像，实现网络传输。同时利用手机捕捉屏幕上的隐写图像，然后进行简单的裁剪和扭曲。显然，如图8所示，在这两种极其复杂的降级过程中，所有其他方法都完全失效或出现严重的色彩失真，而本文从的方法仍然可以揭示秘密图像的大致内容，并保持良好的语义一致性，这证明了本文方法的优越性。