OD-Stega: LLM-Based Relatively Secure Steganography via Optimized Distributions

Technisches Resümee: OD-Stega

Problemstellung
Die Arbeit befasst sich mit der Herausforderung der coverlosen Steganographie unter Verwendung von Large Language Models (LLMs). In diesem Szenario generiert ein Sender (Alice) einen Text, der eine verborgene Geheimbotschaft enthält, welcher an einen Empfänger (Bob) über einen öffentlichen Kanal übertragen wird, der von einem Lauscher (Eve) überwacht wird. Das primäre Ziel besteht darin, die Einbettungsausnutzung (die Anzahl der verborgenen Geheimnisbits pro Token) zu maximieren, während gleichzeitig die Natürlichkeit des generierten Textes (Unauffälligkeit) gewahrt bleibt.

Traditionelle LLM-basierte Steganographie stützt sich auf die Arithmetische Kodierung (AC), bei der die Geheimbotschaft die Abtastung der Token basierend auf der nativen Wahrscheinlichkeitsverteilung des LLMs steuert. LLMs produzieren jedoch oft hochgradig deterministische Ausgaben (geringe Entropie), was die Menge der einbettbaren Informationen begrenzt. Zudem gehen bestehende Methoden oft von einem „perfekt sicheren“ Regime aus, in dem der Stego-Text unter jeglicher Detektionsfähigkeit ununterscheidbar von natürlichem Text sein muss. Die Autoren argumentieren, dass in vielen praktischen Szenarien Eve ein „schwacher Detektor“ ist (z. B. rechenbeschränkt oder verzögerungsgebunden), was eine Lockerung der Sicherheitsbeschränkungen ermöglicht, um eine höhere Einbettungskapazität zu erreichen. Dies führt zum Konzept der relativ sicheren Steganographie.

Methodik
Der Kern der vorgeschlagenen Methode, OD-Stega (Optimized Distribution Steganography), besteht darin, die native Token-Wahrscheinlichkeitsverteilung $P$ des LLMs durch eine optimierte Verteilung $Q$ zu ersetzen, die eine höhere Entropie aufweist, unterliegt jedoch einer Beschränkung hinsichtlich der Divergenz zwischen $Q$ und $P$.

1. Optimierungsformulierung:
   Das Problem wird als Maximierung der Shannon-Entropie $H(Q)$ der Ersatzverteilung $Q$ formuliert, unter der Nebenbedingung $D(Q || P) \leq \delta$, wobei $\delta$ die zulässige Abweichung (Sicherheitsbudget) basierend auf den Detektionsfähigkeiten von Eve darstellt. Die Autoren betrachten zwei Divergenzmaße:

   • Kullback-Leibler-Divergenz (KL-Divergenz): Eine geschlossene Formel wurde abgeleitet, bei der die optimale Verteilung $Q$ durch Anwendung von Temperatur-Skalierung auf die Logits der ursprünglichen Verteilung $P$ erhalten wird. Konkret entspricht $Q$ einem durch einen Temperaturparameter $T \geq 1$ skalierten $P$.
   • Total Variation (TV) Distanz: Die optimale Lösung folgt einem „Water-Filling“-Verfahren, bei dem die Wahrscheinlichkeitsmasse von Tokens mit hoher Wahrscheinlichkeit zu Tokens mit niedriger Wahrscheinlichkeit umverteilt wird, um die Wahrscheinlichkeiten bis zu einem gewissen Schwellenwert anzugleichen, was die Verteilung effektiv abflacht.

2. Adaptive Parameterwahl:
   Um die Generierung unnatürlicher Texte zu verhindern (insbesondere in Kontexten mit geringer Entropie, in denen die Token-Wahl nahezu deterministisch ist), wird das Divergenzbudget $\delta$ nicht global fest vorgegeben. Stattdessen wird es adaptiv als Funktion der Entropie des aktuellen Tokens gesetzt: $\delta_i = C \cdot H(P_i)$, wobei $C$ eine abstimmbare Konstante ist.

3. Praktische Engineering-Lösungen:
   Das Paper adressiert drei kritische praktische Probleme:

   • Tokenisierungs-Mismatch: Standard-Tokenizer garantieren nicht, dass eine gegebene Textsequenz eine eindeutige Token-Sequenz besitzt (z. B. „mountain“ vs. „mount“ + „ain“). Die Autoren schlagen eine Prompt-Selektionsstrategie vor, bei der Alice eine kurze Sequenz von „Dummy“-Bits ($B$) der Geheimbotschaft voranstellt. Sie iteriert durch Kombinationen von $B$, bis der resultierende Stego-Text von Bob korrekt tokenisiert und dekodiert werden kann, woraufhin Bob $B$ verwirft.
   • Vokabular-Trunkierung: Um die Rechenkomplexität zu reduzen, wird das Vokabular auf die Top-$N_\epsilon$ Tokens beschränkt (wobei die kumulative Wahrscheinlichkeit $1-\epsilon$ beträgt). Die Autoren beweisen, dass die gesamte KL-Divergenz über die Trunkierungs- und Optimierungsstufen hinweg additiv ist, was eine präzise Kontrolle des gesamten Sicherheitsbudgets ermöglicht.
   • Integration mit Nicht-AC-Methoden: Es wird gezeigt, dass der Ansatz mit bestehenden Techniken kompatibel ist, die nicht strikt auf arithmetischer Kodierung beruhen, wie etwa Discop (welches Verteilungs-Kopien verwendet). Die optimierte Verteilung wird vor dem Kodierungsschritt in diesen Frameworks angewendet.

Wesentliche Beiträge

• Theoretische Formulierung: Das Paper etabliert, dass die Maximierung der Einbettungskapazität unter einer Sicherheitsbeschränkung äquivalent zur Maximierung der Entropie der Token-Verteilung unter einer Divergenzkontrolle ist. Es liefert geschlossene Lösungen sowohl für KL- als auch für TV-Beschränkungen.
• OD-Stega-Framework: Ein praktisches System, das optimierte Verteilungen mit arithmetischer Kodierung integriert, Tokenisierungsfehler über eine Verifikationsschleife behebt und die Rechenkosten durch Vokabular-Trunkierung verwaltet.
• OD-Discop: Eine Demonstration, dass die Optimierungstechnik universell angewendet werden kann, um die Einbettungseffizienz anderer steganographischer Methoden, spezifisch der Discop-Technik, zu verbessern.
• Empirische Validierung: Umfangreiche Experimente mit LLaMA2-7B und GPT2-XL Modellen, welche die Einbettungsausnutzung, die Detektionsraten gegenüber State-of-the-Art Steganalyse-Tools (FCN, SES-Llama, GS-Llama) sowie die menschliche Wahrnehmung via GPT-4 evaluieren.

Experimentelle Ergebnisse

• Einbettungsausnutzung: Die Experimente zeigen einen signifikanten Trade-off zwischen Sicherheit und Kapazität. Durch Erhöhung des Parameters $C$ (was die Divergenz $\delta$ erhöht), steigt die Anzahl der eingebetteten Bits pro 25 Tokens erheblich an.
  • Mit einer strikten Beschränkung ($C=0,01$, was einen starken Detektor simuliert) stieg die Einbettungsausnutzung im Vergleich zu Baseline-Trunkierungsmethoden um etwa 20 %.
  • Mit einer gelockerten Beschränkung ($C=0,05$, was einen schwachen Detektor simuliert) stieg die Ausnutzung um bis zu 55 %.
• Steganalyse-Performance: Bei Tests gegen FCN-, SESY- und GS-Llama-Detektoren:
  • Bei niedrigen $C$-Werten waren die Stego-Texte weitgehend ununterscheidbar von natürlichem LLM-Text (Detektionsraten nahe dem Zufallsergebnis).
  • Mit steigendem $C$ stiegen die Detektionsraten, was die kontrollierbare Natur der Sicherheitsdegradierung bestätigt.
• Wahrnehmungsevaluation: GPT-4-Evaluierungen zeigten eine Korrelation zwischen dem Divergenzparameter und der Wahrscheinlichkeit, dass der Text als nicht-menschlich eingestuft wird, was konsistent mit den Ergebnissen der Steganalyse ist.
• Robustheit der Tokenisierung: Die vorgeschlagene Bit-Padding-Verifikationsmethode löste Tokenisierungs-Mismatches erfolgreich auf, ohne eine erschöpfende Enumeration zu erfordern.

Bedeutung und Behauptungen
Das Paper behauptet, dass OD-Stega einen fundierten Ansatz für relativ sichere Steganographie bietet, der einen Gestaltungsspielraum eröffnet, um Einbettungskapazität und Detektierbarkeit auszubalancieren. Im Gegensatz zu „perfekt sicheren“ Methoden, die durch die geringe Entropie der natürlichen Sprachgenerierung limitiert sein können, nutzt OD-Stega explizit die Limitationen des Lauschers (Eve) aus, um die Informationsverdeckung zu maximieren.

Die Autoren betonen, dass ihre Methode universell ist und in der Lage ist, bestehende AC-basierte und Nicht-AC-basierte Schemata (wie Discop) zu verbessern. Sie positionieren die KL-Divergenz (oder die TV-Distanz) nicht nur als theoretisches Maß, sondern als praktischen Steuerhebel (Hyperparameter), der es Ingenieuren ermöglicht, das System basierend auf dem Bedrohungsmodell und den Anwendungserfordernissen abzustimmen. Die Arbeit erkennt Limitationen an und stellt fest, dass die Optimierung Token für Token ohne langfristigen Vorausblick (aufgrund der Rechenkosten) erfolgt und dass die „Unauffälligkeitsschwelle“ als ein abstimmbarer Parameter und nicht als ein gelerntes Perzeptionsmodell behandelt wird.