[論文レビュー] Hiding Images in Deep Probabilistic Models

Haoyu Chen, Linqi Song+3 more|arXiv (Cornell University)|Oct 5, 2022

Digital Media Forensic Detection被引用数 4

ひとこと要約

本稿では、SinGANを用いてカバー画像の学習済みパッチ分布に秘密画像を埋め込む、深層確率的モデル内に画像を隠すための新規フレームワークを提案する。オートエンコーダーに基づく手法とは異なり、復号ネットワークを送信しないため、鍵依存の抽出と、安全で高容量かつ柔軟なステガノグラフィを実現する。

ABSTRACT

Data hiding with deep neural networks (DNNs) has experienced impressive successes in recent years. A prevailing scheme is to train an autoencoder, consisting of an encoding network to embed (or transform) secret messages in (or into) a carrier, and a decoding network to extract the hidden messages. This scheme may suffer from several limitations regarding practicability, security, and embedding capacity. In this work, we describe a different computational framework to hide images in deep probabilistic models. Specifically, we use a DNN to model the probability density of cover images, and hide a secret image in one particular location of the learned distribution. As an instantiation, we adopt a SinGAN, a pyramid of generative adversarial networks (GANs), to learn the patch distribution of one cover image. We hide the secret image by fitting a deterministic mapping from a fixed set of noise maps (generated by an embedding key) to the secret image during patch distribution learning. The stego SinGAN, behaving as the original SinGAN, is publicly communicated; only the receiver with the embedding key is able to extract the secret image. We demonstrate the feasibility of our SinGAN approach in terms of extraction accuracy and model security. Moreover, we show the flexibility of the proposed method in terms of hiding multiple images for different receivers and obfuscating the secret image.

研究の動機と目的

• オートエンコーダーに基づくデータ隠しの限界、すなわち大規模な復号ネットワーク、スティーガノグラフィ分析への脆弱性、および柔軟性に欠ける複数受信者対応を是正すること。
• データドメインではなく、深層生成モデルが学習する確率分布内に秘密画像を埋め込む新しい計算フレームワークを開発すること。
• SinGANの内部構造を活用して、パッチ分布学習中に確率的分布内に秘密画像を埋め込み、鍵を共有することでのみ抽出可能な、安全で正確な画像隠しを実現すること。
• 複数受信者向けの柔軟なステガノグラフィを可能とし、ピクセルシャッフルを用いた画像の難読化を実装することで、モデルのセキュリティを損なわずに行うこと。

提案手法

• 単一のカバー画像のパッチレベル確率分布を学習するために、ピラミッド構造のGANであるSinGANを用いる。
• SinGANの学習中に、固定されたノイズマップ（埋め込み鍵によって生成）から秘密画像への決定的マッピングを適合させ、モデルの内部分布に秘密画像を埋め込む。
• ステゴ用SinGANは、元のSinGANと同一のカバーに類似したサンプルを生成するため、モデルのセキュリティとスティーガノグラフィ分析ツールからの検出回避性を確保する。
• 同一の埋め込み鍵を用いた1回の順伝播によって秘密画像を抽出可能であり、別個の復号ネットワークを必要としない。
• 複数の鍵依存ノイズマップを同時に学習させることで、複数の秘密画像を1つの共有モデルおよび鍵機構を用いて埋め込むことを可能にする。
• 秘密画像のピクセルシャッフル（難読化）を統合し、シャッフル鍵を埋め込み鍵と共に共有することで、さらにセキュリティを強化する。

実験結果

リサーチクエスチョン

• RQ1 深層生成モデルの確率分布内に秘密画像を埋め込むことで、モデルの観察可能な動作に影響を与えることなく、実現可能か？
• RQ2 提案手法は、既存のスティーガノグラフィ分析ツールに検出されず、高い抽出精度を達成できるか？
• RQ3 1つの共有モデルと鍵機構を用いて、複数の受信者向けに複数の秘密画像を埋め込むことは可能か？
• RQ4 秘密画像のピクセルシャッフルは、スティーガノグラフィ分析の難易度と抽出画像の視認性にどのように影響するか？
• RQ5 元のカバー分布とステゴ分布の間の統計的関係は何か？ これにより、埋め込み容量にどのような制約が生じるか？

主な発見

• 提案手法は、オートエンコーダーに基づく手法に比べて高い抽出精度を達成しており、抽出された秘密画像の視認性は元の画像と類似している。
• ステゴ用SinGANは、元のSinGANと同一の生成行動を示し、複数のセキュリティテストに合格し、StegExposeなどのスティーガノグラフィ分析ツールからも検出されない。
• 最大4つの秘密画像を埋め込む場合でも、すべての指標で抽出精度の低下が段階的であり、スケーラビリティと柔軟性を示している。
• 秘密画像のピクセルシャッフルは、スティーガノグラフィ分析の難易度を顕著に高め、ノイズが加わっても主要コンテンツは抽出画像で明確に識別可能である。
• 復号ネットワークを送信せず、鍵依存の抽出を実現することで、実用性とセキュリティが向上している。
• 実験的結果から、元の分布とステゴ分布の間の統計的距離が小さく保たれていることが示され、確率的隠し枠組みの実現可能性が裏付けられた。