[논문 리뷰] Adversarial Embedding: A robust and elusive Steganography and Watermarking technique

Salah Ghamizi, Maxime Cordy외 2명|arXiv (Cornell University)|2019. 11. 14.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

이 논문은 깊이 신경망의 대상적 적대적 공격을 활용하여 이미지에 비밀 메시지를 비가시적으로 통합하는 새로운 스테고그래피 및 워터마킹 기법인 적대적 임bedding을 소개한다. 비이동성이며 인지하기 어려운 변형을 사용함으로써, 이 방법은 최대 10 비트/픽셀의 높은 임베딩 밀도를 달성하고, 스테고그래피 분석에 저항하며, 모델 접근 권한이 없는 공격자에 의해 메시지 복구율이 13% 미만으로 유지되는 등 이미지 훼손 상황에서도 메시지 무결성을 유지한다.

ABSTRACT

We propose adversarial embedding, a new steganography and watermarking technique that embeds secret information within images. The key idea of our method is to use deep neural networks for image classification and adversarial attacks to embed secret information within images. Thus, we use the attacks to embed an encoding of the message within images and the related deep neural network outputs to extract it. The key properties of adversarial attacks (invisible perturbations, nontransferability, resilience to tampering) offer guarantees regarding the confidentiality and the integrity of the hidden messages. We empirically evaluate adversarial embedding using more than 100 models and 1,000 messages. Our results confirm that our embedding passes unnoticed by both humans and steganalysis methods, while at the same time impedes illicit retrieval of the message (less than 13% recovery rate when the interceptor has some knowledge about our model), and is resilient to soft and (to some extent) aggressive image tampering (up to 100% recovery rate under jpeg compression). We further develop our method by proposing a new type of adversarial attack which improves the embedding density (amount of hidden information) of our method to up to 10 bits per pixel.

연구 동기 및 목표

• 높은 데이터 용량, 탐지 불가능성, 훼손에 대한 내성을 동시에 확보하지 못하는 기존 스테고그래피 및 워터마킹 기법의 한계를 해결한다.
• 적대적 공격의 본질적 특성인 인지하기 어려움, 비이동성, 내성 등을 활용하여 새로운 보안 임베딩 방법의 새로운 클래스를 창출한다.
• 메시지 복구 성공률을 높이면서도 임베딩 밀도를 극대화하기 위해 다중 클래스 임베딩을 가능하게 하는 새로운 적대적 공격인 정렬된 대상적 적대적 공격(SATA)을 개발한다.
• 제안된 방법이 기존 딥러닝 기반 스테고그래피 기법에 비해 임베딩 용량, 보안성, 일반적인 이미지 조작에 대한 강건성 측면에서 뛰어나다는 것을 입증한다.

제안 방법

• 다중 출력 클래스를 가진 사전 학습된 깊이 신경망(DNN)을 사용하여 메시지 비트를 이진 값으로 매핑하는 임베딩 및 복원 메커니즘을 설계한다.
• 특정 타깃 클래스로 분류되도록 커버 이미지를 변형시켜 스테고 이미지를 생성하기 위해 비이동성 대상적 적대적 공격(SATA)을 적용한다.
• 타깃 클래스를 정렬하고 하이퍼파라미터 γ로 제어되는 가중치 손실 함수를 사용하여 다중 클래스 임베딩을 가능하게 하기 위해 SATA를 설계한다.
• 변형의 크기를 작은 L2 노름(ε = 0.5)으로 제약하고 반복적 PGD 스타일 최적화 및 무작위 재시작을 통해 시각적 인식 불가능성을 확보한다.
• 블랙박스 호환성을 확보하기 위해 모델의 로짓과 기울기 정보만을 사용하며, 이는 기존 DNN 및 적대적 공격 프레임워크와의 통합을 가능하게 한다.
• 여러 이미지에서 임베딩 성공률을 최적화하기 위해 γ와 ε에 대한 그리드 서치를 수행하여 신뢰할 수 있는 메시지 복원을 보장한다.

실험 결과

연구 질문

• RQ1 적대적 공격을 재사용하여 고도로 탐지 불가능하고 이미지 훼손에 강건한 스테고그래피 및 워터마킹 시스템을 구축할 수 있는가?
• RQ2 다중 클래스 인코딩을 지원하도록 적대적 공격을 수정함으로써 임베딩 밀도를 얼마나 높일 수 있는가?
• RQ3 공격자가 모델에 대한 부분적인 지식을 가진 경우, 제안된 방법의 스테고그래피 분석 및 무단 복원에 대한 효과는 어떠한가?
• RQ4 JPEG 압축, 색상 깊이 감소, 크기 조정과 같은 일반적인 이미지 처리 작업에 대해 이 방법은 어떻게 성능을 발휘하는가?
• RQ5 이미지당 클래스 수(임베딩 용량)와 메시지 복구 성공률 사이의 상충 관계는 어떠한가?

주요 결과

• 제안된 적대적 임베딩 기법은 10,000개 클래스의 ImageNet 스타일 분류기로 최대 10 비트/픽셀의 임베딩 밀도를 달성하여 기존 스테고그래피 기법을 초월한다.
• 100개 클래스 분류기를 사용할 경우, 메서드는 0.2 BPP의 임베딩 밀도를 달성하며, 최신 기술 수준의 스테고그래피 기법과 유사한 성능을 보인다.
• JPEG 압축 상황에서도 100%의 메시지 복구율을 유지하여, 극심한 이미지 훼손에 대한 강력한 내성을 입증한다.
• 공격자가 공유된 모델에 접근할 수 없는 경우, 메시지 복구율이 13% 이하로 떨어지며, 비이동성로 인한 강력한 기밀성 확보를 확인한다.
• SATA 공격는 1,000장의 테스트 이미지에서 평균 0.8%의 성공률로 최대 7개의 클래스를 이미지당 임베딩할 수 있었으며, 실용적 구현에 있어 높은 신뢰성을 보였다.
• 색상 깊이 감소에 대해서도 강건성을 보이며, 8비트 색상 깊이에서 최대 88%의 복구율을 달성하여 일반적인 이미지 처리에 대한 내성을 입증했다.