[논문 리뷰] HiDDeN: Hiding Data With Deep Networks

Jiren Zhu, Russell Kaplan외 2명|arXiv (Cornell University)|2018. 07. 26.

Digital Media Forensic Detection참고 문헌 24인용 수 4

한 줄 요약

HiDDeN은 이미지 스테가노그래피 및 강건한 워터마킹을 위한 엔드 투 엔드 학습 가능한 딥러닝 프레임워크로, 비밀성과 강건성을 동시에 확보하기 위해 복합 인코더-디코더 네트워크와 적대적 판별기(discriminator)를 사용한다. 비가역적인 변환의 미분 가능 근사치를 사용하여 훈련함으로써, JPEG 압축, 흐림, 픽셀 드롭아웃, 자르기 등의 일반적인 이미지 왜곡에 대해 뛰어난 강건성을 확보하며, 이는 이전의 딥러닝 방법을 능가하고 Digimarc과 같은 상용 워터마킹 도구와 비교해도 열등하지 않다.

ABSTRACT

Recent work has shown that deep neural networks are highly sensitive to tiny perturbations of input images, giving rise to adversarial examples. Though this property is usually considered a weakness of learned models, we explore whether it can be beneficial. We find that neural networks can learn to use invisible perturbations to encode a rich amount of useful information. In fact, one can exploit this capability for the task of data hiding. We jointly train encoder and decoder networks, where given an input message and cover image, the encoder produces a visually indistinguishable encoded image, from which the decoder can recover the original message. We show that these encodings are competitive with existing data hiding algorithms, and further that they can be made robust to noise: our models learn to reconstruct hidden information in an encoded image despite the presence of Gaussian blurring, pixel-wise dropout, cropping, and JPEG compression. Even though JPEG is non-differentiable, we show that a robust model can be trained using differentiable approximations. Finally, we demonstrate that adversarial training improves the visual quality of encoded images.

연구 동기 및 목표

• 스테가노그래피와 강건한 워터마킹을 모두 지원하는 엔드 투 엔드 학습 가능한 딥러닝 프레임워크를 개발하는 것.
• 적대적 훈련과 비가역적인 이미지 변환의 미분 가능 근사치를 활용하여 숨겨진 데이터의 정밀도와 강건성을 향상시키는 것.
• 훈련 시 소음 레이어를 수정함으로써 용량, 비밀성, 강건성 간의 탄력적인 트레이드오���을 가능하게 하는 것.
• 신경망이 비가역적인 왜곡(예: JPEG 압축)이 적용된 실제 세계의 이미지 왜곡에도 견딜 수 있도록 정보를 삽입하는 방식을 학습할 수 있음을 보여주는 것.
• 적대적 손실을 사용한 엔드 투 엔드 훈련이 시각적 품질을 향상시키고, 스테가노그래피 분석 도구가 인코딩된 이미지를 탐지하기 어려워지게 함을 보여주는 것.

제안 방법

• 컨볼루션 인코더 네트워크는 커버 이미지와 이진 메시지를 입력으로 받아 시각적으로 구별하기 어려운 인코딩된 이미지를 출력한다.
• 디코더 네트워크는 인코딩된 이미지를 입력으로 받아 원래의 메시지를 재구성하며, 재구성 오차를 최소화한다.
• 적대적 네트워크는 실제 커버 이미지와 인코딩된 이미지를 구분하도록 훈련되어, 숨겨진 데이터의 정밀도를 향상시키는 손실을 제공한다.
• 훈련 중에 인코더와 디코더 사이에 실제 세계의 왜곡(예: 가우시안 블러, 픽셀 드롭아웃, 자르기, JPEG)을 시뮬레이션하는 소음 레이어를 삽입하여 강건성을 향상시킨다.
• 비가역적인 JPEG 압축에 대해서는, backpropagation를 가능하게 하기 위해 훈련 중에 미분 가능한 근사치(JPEG-Mask)를 사용한다.
• 전반적인 훈련 목표는 세 가지 구성 요소를 최소화하는 것으로, (1) 커버 이미지와 인코딩된 이미지 간의 L2 거리, (2) 입력 메시지와 복원된 메시지 간의 교차 엔트로피 손실, (3) 판별기로부터 유도된 적대적 손실이다.

실험 결과

연구 질문

• RQ1 엔드 투 엔드 딥러닝을 사용해 스테가노그래피와 강건한 워터마킹을 위한 통합 프레임워크를 만들 수 있는가?
• RQ2 딥러닝 모델이 JPEG 압축과 같은 비가역적인 왜곡을 포함한 일반적인 이미지 왜곡에 대해 강건하게 데이터를 삽입하는 방식을 학습할 수 있는가?
• RQ3 적대적 훈련이 인코딩된 이미지의 시각적 품질과 탐지 저항성에 기여하는가?
• RQ4 다양한 왜곡 유형에 대해 훈련된 단일 모델이 특화된 재훈련 없이도 다양한 왜곡에 대해 잘 일반화되는가?
• RQ5 실제 왜곡 조건 하에서 HiDDeN의 성능은 Digimarc와 같은 최신 상용 워터마킹 시스템과 비교해 어떻게 되는가?

주요 결과

• 픽셀 수준의 드롭아웃(p=0.1) 조건에서 HiDDeN은 94%의 비트 정확도를 달성하여, 소음 없이 훈련된 모델보다 뛰어나며 전용 모델에 가까운 성능을 보였다.
• JPEG 압축의 미분 가능 근사치를 사용해 훈련한 모델은 실제 JPEG 압축 조건에서 85%의 비트 정확도를 기록했으며, 이는 비강건한 모델이 50%로 낮아지는 것(우연 수준)과 비교해 뚜렷한 우월성을 보였다.
• 모든 왜곡 유형에 대해 훈련된 복합 모델은 Cropout 조건에서 94%의 정확도, 전용 Crop 조건에서 97%의 정확도를 기록하여, 성능을 희생시키지 않은 채 강력한 일반화 능력을 입증했다.
• 드롭아웃(p=0.1) 조건에서 전용 HiDDeN 모델은 ≥95%의 비트 정확도를 달성했고, Digimarc는 완전히 실패했으며, 이는 이 시나리오에서 훨씬 뛰어난 강건성을 보여준다.
• 자르기 및 고강도 공간 노이즈 조건에서 HiDDeN의 전용 및 복합 모델은 ≥95%의 비트 정확도를 기록했으며, 이는 Digimarc의 성공률과 유사하거나 이를 초월했다.
• 소음 없이 훈련된 모델는 실제 왜곡 조건에서 성능이 열악했으며, 이는 강건성이 청소년적 전송 조건에서 자연스럽게 유도되지 않으며, 반드시 명시적으로 훈련되어야 한다는 점을 확인한다.