[论文解读] Diffusion-Stego: Training-free Diffusion Generative Steganography via Message Projection

Daegyu Kim, Chaehun Shin+3 more|arXiv (Cornell University)|May 30, 2023

Advanced Steganography and Watermarking Techniques被引用 4

一句话总结

Diffusion-Stego 是一种无需训练的生成式隐写方法，通过一种新颖的消息投影技术，将秘密信息嵌入预训练扩散模型的潜在噪声中，实现高容量、高保真度的隐写图像，其效果与真实图像无法区分。该方法在 FFHQ 64×64 数据集上实现了最高 6.0 bpp 的容量，消息准确率达 90%，FID 得分为 2.77（1.0 bpp 时），利用确定性采样器实现可逆的消息嵌入与提取，无需微调模型。

ABSTRACT

Generative steganography is the process of hiding secret messages in generated images instead of cover images. Existing studies on generative steganography use GAN or Flow models to obtain high hiding message capacity and anti-detection ability over cover images. However, they create relatively unrealistic stego images because of the inherent limitations of generative models. We propose Diffusion-Stego, a generative steganography approach based on diffusion models which outperform other generative models in image generation. Diffusion-Stego projects secret messages into latent noise of diffusion models and generates stego images with an iterative denoising process. Since the naive hiding of secret messages into noise boosts visual degradation and decreases extracted message accuracy, we introduce message projection, which hides messages into noise space while addressing these issues. We suggest three options for message projection to adjust the trade-off between extracted message accuracy, anti-detection ability, and image quality. Diffusion-Stego is a training-free approach, so we can apply it to pre-trained diffusion models which generate high-quality images, or even large-scale text-to-image models, such as Stable diffusion. Diffusion-Stego achieved a high capacity of messages (3.0 bpp of binary messages with 98% accuracy, and 6.0 bpp with 90% accuracy) as well as high quality (with a FID score of 2.77 for 1.0 bpp on the FFHQ 64$ imes$64 dataset) that makes it challenging to distinguish from real images in the PNG format.

研究动机与目标

• 解决基于 GAN 和流模型的生成式隐写方法存在的局限性，这些方法由于模型固有约束导致隐写图像保真度较低。
• 利用扩散模型卓越的图像生成质量，提升隐写图像的真实感与抗检测能力。
• 开发一种无需训练的方法，仅使用预训练的扩散模型和确定性采样器即可实现消息的嵌入与提取。
• 克服基于原始噪声的朴素消息嵌入方法所面临的问题，如视觉质量下降和消息提取准确率降低。
• 实现将隐写技术应用于大规模文本到图像模型（如 Stable Diffusion），仅需秘密消息和文本提示即可完成。

提出的方法

• 通过一种保持噪声分布和图像质量的消息投影技术，将秘密消息投影到预训练扩散模型的潜在噪声空间中。
• 利用具有可逆性质的确定性采样器（如 EDM 中的 Heun 采样器），实现同一模型下图像生成与消息提取的双重功能。
• 提出三种消息投影变体——MB、MS 和 MP，以平衡消息准确率、图像保真度与抗检测性能之间的权衡。
• 通过在反向去噪过程中修改噪声来实现消息投影，从而在最小化失真和保持随机噪声统计特性的同时嵌入信息。
• 通过逆向使用与图像生成相同的确定性采样路径，确保消息提取过程无损，实现无需额外训练的端到端隐写。
• 通过在文本提示条件下的潜在空间中注入消息，支持在文本到图像扩散模型中应用，实现基于提示的隐写图像生成。

实验结果

研究问题

• RQ1 扩散模型能否在无需微调的情况下，有效实现高容量、高保真度的生成式隐写？
• RQ2 如何在不降低图像质量或减少消息提取准确率的前提下，将秘密消息嵌入扩散模型的潜在噪声中？
• RQ3 哪些技术能够在保持确定性采样器可逆性的同时，实现鲁棒的消息嵌入与提取？
• RQ4 与朴素噪声替换方法相比，消息投影在图像保真度、消息准确率和抗检测鲁棒性方面表现如何？
• RQ5 Diffusion-Stego 在大规模文本到图像模型（如 Stable Diffusion）上的适用程度如何，能否实现实际的隐写通信？

主要发现

• Diffusion-Stego 在 FFHQ 64×64 数据集上实现了 3.0 比特每像素（bpp）的消息容量，消息提取准确率达 98%，在 6.0 bpp 时准确率仍达 90%。
• 该方法保持了极高的图像质量，在 FFHQ 64×64 数据集上以 1.0 bpp 嵌入消息时，Fréchet Inception Distance（FID）得分仅为 2.77。
• 在 TIFF 格式下保存隐写图像时，消息准确率显著提升至 99.99%，而 PNG 格式下仅为 94.78%，证实了量化对消息完整性的显著影响。
• 所提出的消息投影技术有效缓解了反向采样过程中导致的视觉退化与误差累积，确保了高消息提取准确率。
• Diffusion-Stego 已成功应用于 Stable Diffusion 模型，在多种提示下生成的高质量隐写图像中，消息准确率在 92.09% 至 98.25% 之间。
• 该方法完全无需训练，无需微调扩散模型或训练额外的提取器，可即插即用，适用于任何预训练的扩散模型。