[論文レビュー] Adversarial Embedding: A robust and elusive Steganography and Watermarking technique

Salah Ghamizi, Maxime Cordy+2 more|arXiv (Cornell University)|Nov 14, 2019

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

この論文では、深層ニューラルネットワーク（DNN）に対する標的付き敵対的攻撃を活用して、画像に見えない秘密のメッセージを埋め込む、新しいステガノグラフィおよびウォーターマーク技術「Adversarial Embedding」を紹介する。非転送性があり、人間の目には感知できない摂動を用いることで、最大10ビット/ピクセルの高い埋め込み密度を達成し、ステガノグラフィー分析に対しても耐性を示し、画像改ざんに対してもメッセージの整合性を保つ。モデルへのアクセスがない攻撃者による復元率は13%未満に抑えられる。

ABSTRACT

We propose adversarial embedding, a new steganography and watermarking technique that embeds secret information within images. The key idea of our method is to use deep neural networks for image classification and adversarial attacks to embed secret information within images. Thus, we use the attacks to embed an encoding of the message within images and the related deep neural network outputs to extract it. The key properties of adversarial attacks (invisible perturbations, nontransferability, resilience to tampering) offer guarantees regarding the confidentiality and the integrity of the hidden messages. We empirically evaluate adversarial embedding using more than 100 models and 1,000 messages. Our results confirm that our embedding passes unnoticed by both humans and steganalysis methods, while at the same time impedes illicit retrieval of the message (less than 13% recovery rate when the interceptor has some knowledge about our model), and is resilient to soft and (to some extent) aggressive image tampering (up to 100% recovery rate under jpeg compression). We further develop our method by proposing a new type of adversarial attack which improves the embedding density (amount of hidden information) of our method to up to 10 bits per pixel.

研究の動機と目的

• 高容量、検出不能性、改ざんに対する耐性のバランスが取れていない既存のステガノグラフィーおよびウォーターマーク技術の限界を解消すること。
• 敵対的攻撃が持つ本質的な特性（目立たなさ、非転送性、耐性）を活用して、新たなセキュアな埋め込み手法のクラスを構築すること。
• 埋め込み密度を最大化しつつ、メッセージの復元成功率を高い水準に保つために、新しい敵対的攻撃「Sorted Targeted Adversarial Attack（SATA）」を開発すること。
• 提案手法が、従来の深層学習ベースのステガノグラフィーと比較して、埋め込み容量、セキュリティ、一般的な画像処理操作に対する耐性の面で優れていることを実証すること。

提案手法

• 複数の出力クラスを持つ事前学習済みの深層ニューラルネットワーク（DNN）を、メッセージの埋め込みと抽出のメカニズムとして用い、出力クラスをバイナリメッセージビットにマッピングする。
• 非転送性のある標的付き敵対的攻撃（SATA）を適用して、カバー画像を摂動させ、DNNが特定のターゲットクラスに分類されるようにする。これにより、埋め込まれたメッセージに対応するステゴ画像が生成される。
• ターゲットクラスをソートし、ハイパーパramータ γ で制御される重み付き損失関数を用いることで、マルチクラス埋め込みを可能にするSATAを設計する。
• 摂動のL2ノルムを ε = 0.5 以内に制限し、ランダムリスタートを伴う反復的PGDスタイル最適化を用いることで、目立たなさを確保する。
• ブラックボックス互換性を実現するため、モデルのログティットと勾配のみに依存する。これにより、任意の既存のDNNおよび敵対的攻撃フレームワークに統合可能である。
• 複数の画像における埋め込み成功率を最適化するために、γ と ε についてグリッドサーチを実施し、信頼性の高いメッセージ復元を保証する。

実験結果

リサーチクエスチョン

• RQ1 敵対的攻撃を再利用することで、検出不能性と画像改ざんに対する耐性を両立させたステガノグラフィーおよびウォーターマークシステムを構築できるか？
• RQ2 マルチクラス符号化を可能にするように敵対的攻撃を変更することで、埋め込み密度をどの程度向上させられるか？
• RQ3 攻撃者がモデルの一部の知識を持つ場合、提案手法はステガノグラフィー分析および不正な復元に対してどの程度有効か？
• RQ4 JPEG圧縮、色深度の低減、リサイズなどの一般的な画像処理操作に対して、この手法はどの程度の性能を示すか？
• RQ5 1枚の画像あたりのクラス数（埋め込み容量）とメッセージ復元成功率の間には、どのようなトレードオフがあるか？

主な発見

• 提案されたAdversarial Embedding技術は、10,000クラスのImageNet風分類器を用いることで、最大10ビット/ピクセルの埋め込み密度を達成し、既存のステガノグラフィー手法を上回る。
• 100クラス分類器を用いる場合、0.2 BPPの埋め込み密度に達し、最先端のステガノグラフィー技術と同等の性能を示す。
• JPEG圧縮に対しても、100%のメッセージ復元率を維持しており、攻撃的な画像改ざんに対しても強い耐性を示している。
• 共有モデルへのアクセスがない攻撃者では、メッセージ復元率が13%未満に低下するため、非転送性に起因する強い機密性が確認された。
• SATA攻撃は、1,000枚のテスト画像において、1枚あたり最大7クラスを0.8%の成功率で埋め込み、実用的導入に向けた高い信頼性を示している。
• 色深度の低減に対しても耐性を示し、8ビット色深度下でも最大88%の復元率を達成しており、一般的な画像処理に対して強い耐性を有している。