Hiding Images in Plain Sight:Deep Steganography

摘要

    隐写术用于在较大图像的噪声区域内不引人注目地隐藏小消息。在本研究中，我们尝试将全尺寸彩色图像放置在另一张相同尺寸的图像中。深度神经网络同时被训练来创建隐藏和揭示过程，并且被设计成专门作为一对工作。该系统使用从 ImageNet 数据库中随机抽取的图像进行训练，并且适用于各种来源的自然图像。除了展示深度学习在隐藏图像方面的成功应用之外，我们还仔细研究了如何实现结果并探索扩展。与许多流行的隐写方法将秘密消息编码在载体图像的最低有效位内不同，我们的方法将秘密图像的表示压缩并分布在所有可用位中。

1 隐写术介绍

    良好的隐写术面临着挑战，因为嵌入消息可能会改变载体的外观和基础统计数据。改变的量取决于两个因素：首先，要隐藏的信息量。一个常见的用途是在图像中隐藏文本消息。隐藏的信息量以每像素位数 (bpp) 来衡量。通常，信息量设置为 0.4bpp 或更低。消息越长，bpp 越大，因此载体改变得越多。其次，改变的量取决于载体图像本身。将信息隐藏在图像的嘈杂、高频填充区域中比隐藏在平坦区域中产生的人类可检测到的扰动要少。

    最常见的隐写术方法操纵图像的最低有效位 (LSB) 来放置秘密信息，无论是通过简单的替换还是通过更先进的方案统一或自适应地完成。尽管这些改变通常无法通过视觉观察，但对图像和音频文件的统计分析可以揭示生成的文件是否与未更改的文件存在差别。先进的方法试图通过明确地创建和匹配可能的封面图像集的一阶和二阶统计量的模型来保留图像统计量；其中最流行的一个名为HUGO。 HUGO 通常用于相对较小的消息 (< 0.5bpp)。与之前的研究相比，我们使用神经网络隐式模拟自然图像的分布，并将更大的消息（全尺寸图像）嵌入到载体图像中。

    一些研究使用深度神经网络 (DNN) 来选择将图像中的哪些 LSB 替换为文本消息的二进制表示。其他人使用 DNN 来确定从载体图像中提取哪些位。相比之下，在我们的工作中，神经网络决定在哪里放置秘密信息以及如何对其进行有效编码；隐藏的信息分散在图像的各个位中。与编码器同时训练的解码器网络用于揭示秘密图像。请注意，网络仅训练一次并且独立于封面图像和秘密图像。

    本文的目标是在另一个 N×N×RGB 封面图像中直观地隐藏完整的 N×N×RGB 像素秘密图像，并且对封面图像的失真最小（每个颜色通道为 8 位）。然而，与以前的研究不同，在以前的研究中，隐藏的文本消息必须通过完美的重建来发送，我们放宽了无损接收秘密图像的要求。相反，我们愿意在载体和秘密图像的质量上找到可接受的权衡（这将在下一节中描述）。我们还简要讨论了秘密消息存在的可发现性。先前的研究表明，可以发现低至 0.1bpp 的隐藏消息比特率；我们的比特率高出 10 倍 - 40 倍。尽管在视觉上很难察觉，但鉴于隐藏信息量很大，我们并不期望统计分析中隐藏秘密消息的存在。尽管如此，我们将证明常用的方法无法找到它，并且我们就如何根据需要权衡存在发现的难度与重建质量给出了有希望的方向。

2 体系架构和错误传播

    经过训练的系统必须学会将秘密图像中的信息压缩到封面图像中最不引人注目的部分。如提出系统的架构如图 1 所示。

    图 1 中所示的三个组件作为单个网络进行训练；然而，单独描述它们是最容易的。最左边的 Prep-Network 准备要隐藏的秘密图像。该组件有两个用途，首先，在秘密图像（大小 M × M）小于封面图像（N × N）的情况下，Prep Network 逐步将秘密图像的大小增加到封面的大小，从而把秘密信息分布在整个 N × N 的图像位像素。 （出于空间原因，我们不提供较小图像的实验细节，而是集中于全尺寸图像）。与所有尺寸的隐藏图像相关的更重要的目的是将基于颜色的像素转换为更有用的特征，以简洁地编码图像 - 例如边缘，如图 2 所示。

    第二个/主网络，Hiding Network，将 Prep Network 的输出和封面图像作为输入，并创建载体图像。该网络的输入是一个 N × N 像素场，封面图像的RGB通道与秘密图像的变换通道深度连接。我们的研究尝试了超过 30 种该网络的架构，具有不同数量的隐藏层和卷积大小；最好的由 5 个卷积层组成，每个层有 50 个{ 3×3，4×4，5×5 }的滤波器；最后，最右边的网络，Reveal Network，由图像的接收者使用；它是解码器。它仅接收载体图像（不接收封面图像或秘密图像）。Reveal Network删除封面图像以提取秘密图像。

    我们不是简单地在bottleneck对单个图像进行编码，而是对两个图像进行编码，以使中间表示（载体图像）看起来与封面图像尽可能相似。通过减少如下所示的误差来训练系统（和分别是封面图像和秘密图像，是如何权衡它们的重建误差）：

    为了确保网络不会简单地对LSB中的秘密图像进行编码，在训练期间将少量噪声添加到第二网络的输出（例如，添加到生成的载秘图像中）。噪音的设计使得LSB偶尔会翻转；这确保了LSB不是秘密图像重建的唯一容器。

3 证实评价

    如上所述，使用Adam对三个网络进行了训练。为了简单起见，重建使像素差异的平方和误差最小化，尽管其他图像指标也可以很容易地替代。使用ImageNet训练集中随机选择的图像对训练网络。

    定量结果如图 4 所示，通过每个像素、每个通道的 SSE 进行测量。该测试是对取自 ImageNet 图像（未在训练中使用）的 1,000 个图像对进行的。为了进行比较，还显示了使用相同网络仅对封面图像进行编码而不对秘密图像进行编码的结果（例如 β = 0）。这给出了使用该网络的封面的最佳重建误差（这在对秘密图像进行编码时是无法实现的）。图 4 还显示了覆盖和重建的误差直方图。可以看出，大的像素错误很少。

    用秘密图像的 4 个最高有效位 (MSB) 替换封面图像的 4 个最低有效位 (LSB)。封面图像重建的较高误差反映了所使用的自然图像中的 MSB 和 LSB 的比特分布不同的事实；因此，即使秘密图像和封面图像是从相同的分布中绘制的，当使用来自秘密图像的MSB代替LSB时，会比简单地使用LSB的平均值产生更大的误差。最重要的是，这些错误率明显高于我们系统所达到的错误率。

    我们通过演示我们的方法的局限性来结束本节。回想一下，网络是根据 ImageNet 挑战赛中发现的自然图像进行训练的。尽管这涵盖了非常大范围的图像，但检查使用其他类型图像时的效果很有启发性。图 6 显示了五张这样的图像。在第一行中，使用纯白色图像作为封面，以检查隐藏彩色秘密图像的视觉效果。在使用 ImageNet 图像进行训练时没有遇到这种简单的情况。第二行和第三行将秘密图像更改为亮粉色圆圈和均匀的噪声。可以看出，即使载秘图像（第 4 列）仅包含有限的噪声，但恢复的秘密图像的噪声却非常大。在最后两行中，封面图像分别更改为圆形和均匀噪声。正如预期的那样，尽管秘密图像仍然可以识别，但封面和秘密的重建误差现在很大。

3.1 如果原始封面图片变得可访问会怎样

    对于许多隐写应用程序，可以安全地假设攻击者不可能访问原始封面图像（未嵌入秘密图像）。但是，如果原始封面图片被发现怎么办？即使无法访问解码网络，也可以确定有关秘密图像的什么内容？在图 5 中，我们展示了原始封面图像和增强 5 倍的载体图像之间的差异——几乎看不到任何东西。我们重新审视5 倍、10 倍和 20 倍增强时的残差图像（适当时在 255 处进行裁剪），请参见图 7。在第一行中，请注意残差（20 倍时）与封面图像非常相似。在第二行中，残差是封面图像和秘密图像的组合，在第三行中，我们看到最令人不安的结果——秘密图像的特征被揭示。 （回想一下，只有当原始的、未受干扰的图像可用于比较时，才会发生这种情况）。有许多标准的混淆方法，例如在将秘密图像嵌入到封面图像之前添加秘密图像的加密编码。我们演示了另一种可以与任何其他方法结合使用的途径：修改网络的误差函数。

    除了所描述的两个误差项之外，我们还添加了一个误差项，该误差项最小化了覆盖图像的残差和秘密图像之间的像素级相关性。最小化残差与秘密图像的相关性会从残差中删除许多秘密图像的特征——即使使用 20 倍放大倍率也是如此。当然，稳健性和弹性是有代价的。如图所示，一些重建的质量有所下降（参见第一幅图像中红色的饱和度）。

4 加密图像在哪里编码

    本文的主要重点是具体证明，在视觉上可察觉的部分是有限的情况下对图像中的大量信息进行编码。然而，尚未做出明确的尝试来主动隐藏该信息的存在以防止机器检测。虽然我们不能期望完全隐藏这样一个事实，即高达1/2的信息是隐藏信息的一部分，但可以采取措施使其更难被发现。然而，首先，我们必须确定秘密图像的信息存在哪里。

    网络是否只是将有关秘密图像的信息隐藏在封面图像的最低有效位中？存在用于寻找 LSB 中隐藏信息的工具。其中一种公开的隐写分析工具包 StegExpose 用于测试隐藏图像的可检测性。根据该工具的描述：“StegExpose 评级算法源自预先存在的基于像素的隐写分析方法的智能且经过彻底测试的组合，包括 Dumitrescu (2003) 的样本对、Fridrich (2001) 的 RS 分析、Westfeld 的卡方攻击(2000) 和 Dumitrescu (2002) 的初级集”。

    论文使用StegExpose检测了模型产生的stego图像，得到的ROC如Figure 8所示，这就证明了模型不是简单的将秘密信息隐写到LSB。论文中还尝试去对stego图像RGB三个通道中的像素值进行扰动，观察对提取出来的秘密图像的影响，结果如Figure 9所示。可以看到，stego中RGB任何一个通道的扰动都会影响到secret图像中RGB三个通道中的像素点，这就证明了模型是将秘密信息隐写到了三个通道中。

5 讨论和未来的工作

    在本节中，我们将简要讨论本研究中发现的一些观察结果，并提出未来工作的想法。首先，让我们考虑在系统部署后并且无需访问原始网络的情况下训练网络以恢复隐藏图像的可能性。

    如上一节所述，在当前形式下，正确检测隐藏图像的存在（不一定是确切的内容）确实是可能的。由于与封面图像的数据相比隐藏的信息量（1:1 比例），发现率很高。这远远超出了可靠传输未被检测到的消息的最先进系统的范围。我们提出了多种方法中的一种，通过显式降低覆盖图像残差与隐藏图像的相似性，使恢复隐藏图像的内容变得更加困难。

    扩大这项工作有许多直接和长期的途径。这里列出了三个最直接的。 (1) 为了建立一个完整的隐写系统，应该解决向统计分析器隐藏消息的存在的问题。这可能需要一个新的训练目标（例如对手），并且可能需要在大封面图像中编码较小的图像。(2) 本文中描述的建议嵌入不适用于有损图像文件。如果需要有损编码，例如 jpeg，则可以直接使用 DCT 系数而不是空间域 。 (3) 为简单起见，我们使用简单的 SSE 误差度量来训练网络；然而，与人类视觉更密切相关的误差度量，例如 SSIM，可以很容易地被替换。