StegoNGP: 3D Cryptographic Steganography using Instant-NGP

Die Arbeit stellt StegoNGP vor, eine neue Methode zur parametrischen 3D-Steganografie, die Instant-NGP nutzt, um mithilfe von Schlüssel-gesteuerten Hash-Funktionen eine vollständige geheime 3D-Szene in einem einzigen, ununterscheidbaren Modell zu verbergen und dabei hohe Kapazität sowie Robustheit zu gewährleisten.

Das Wesentliche

Das große Geheimnis im unschuldigen Haus

Stellen Sie sich vor, Sie bauen ein 3D-Modell (eine virtuelle Welt, wie ein Zimmer oder eine Landschaft) für das Internet. Das ist wie ein digitaler Hausbau. Normalerweise speichern Sie dieses Haus in einer riesigen Datenbank, die man sich wie einen Werkzeugkasten vorstellen kann.

Das Problem: Wenn Sie dieses Haus online stellen, kann jeder es sehen. Aber was, wenn Sie darin geheime Informationen verstecken wollen? Vielleicht ein zweites, geheimes Haus, das nur Sie sehen können, oder eine geheime Botschaft, die wie ein unsichtbarer Geist durch die Wände läuft?

Bisherige Methoden hatten große Nachteile:

1. Sie brauchten einen extra Schlüsselbund (einen Decoder), der das Haus erst öffnen konnte. Das war verdächtig, wie ein Schloss, das man nur mit einem Spezialwerkzeug öffnen kann.
2. Sie mussten das Haus umbauen (mehr Parameter hinzufügen), was das Haus schwerer und größer machte. Ein Spion könnte sofort merken: „Aha, dieses Haus ist größer als alle anderen, da muss etwas drin stecken!"

Die Lösung: StegoNGP – Der magische Schlüssel

Die Forscher haben eine geniale Idee namens StegoNGP entwickelt. Sie nutzen eine Technologie namens Instant-NGP, die im Grunde ein sehr schneller Baumeister ist.

Stellen Sie sich das Instant-NGP-Modell wie einen großen, leeren Schrank vor, der mit Millionen von kleinen Fächern gefüllt ist. In jedem Fach liegt ein kleiner Zettel mit einer Farbe oder einem Detail für das Haus.

1. Der Trick mit dem Schlüssel (Der Hash-Schlüssel)

Normalerweise fragt der Baumeister: „Wo liegt das Fach für die linke Ecke des Sofas?" und benutzt eine feste Liste von Nummern (einen Standard-Schlüssel), um das richtige Fach zu finden.

Die Forscher sagen: „Nein! Wir machen das Fachsystem schlüsselabhängig."

• Schlüssel A (Der öffentliche Schlüssel): Wenn Sie diesen Schlüssel benutzen, findet der Baumeister die Fächer für das normale Haus (das „Cover"). Das Haus sieht perfekt aus, wie jedes andere auch. Niemand merkt etwas.
• Schlüssel B (Der geheime Schlüssel): Wenn Sie diesen anderen Schlüssel benutzen, ändert sich die Art und Weise, wie der Baumeister die Fächer sucht. Er findet plötzlich andere Fächer im gleichen Schrank. Diese Fächer enthalten die Daten für das geheime Haus (das „Hidden Scene").

Die Magie: Es ist derselbe Schrank, dieselben Fächer und dieselbe Anzahl an Zetteln. Das Haus sieht für jeden, der nur den öffentlichen Schlüssel hat, völlig normal aus. Aber wer den geheimen Schlüssel hat, sieht plötzlich ein komplett anderes Haus im selben Schrank!

2. Warum ist das so sicher? (Der „Multi-Key"-Trick)

Stellen Sie sich vor, der Schrank hat 16 Etagen.

• Bei der einfachen Version benutzt man einen Schlüssel für alle 16 Etagen.
• Bei der Super-Version (Multi-Key) geben die Forscher jedem der 16 Etagen einen eigenen, völlig unterschiedlichen Schlüssel.

Um das geheime Haus zu sehen, müssen Sie alle 16 Schlüssel haben. Wenn ein Hacker nur einen oder zwei Schlüssel errät, sieht er nur wirres Chaos oder Rauschen (wie ein statisches Bild auf einem alten Fernseher). Das macht es unmöglich, das Geheimnis zu knacken, ohne den kompletten Schlüsselbund zu besitzen.

Was bringt das uns?

1. Unsichtbarkeit: Das versteckte Haus lässt sich nicht von einem normalen Haus unterscheiden. Es ist wie ein Tarnanzug. Ein Hacker kann nicht sagen: „Da ist etwas versteckt", weil das Modell exakt so groß und aufgebaut ist wie ein normales 3D-Modell.
2. Kein Extra-Gewicht: Sie müssen keine zusätzlichen Daten hinzufügen. Das geheime Haus wird einfach in die Struktur des normalen Hauses eingewebt.
3. Hohe Kapazität: Sie können nicht nur ein paar Bits (wie ein Passwort) verstecken, sondern eine ganze 3D-Welt (ein komplettes geheimes Haus) in einer anderen Welt verstecken.

Zusammenfassung in einem Satz

StegoNGP ist wie ein magischer Schrank, der für jeden Betrachter ein normales Wohnzimmer enthält, aber für den Besitzer eines geheimen Schlüssels plötzlich ein komplettes, verstecktes Schloss im selben Schrank offenbart – ohne dass der Schrank auch nur einen Millimeter größer wird oder verdächtig aussieht.

Das ist der Durchbruch für sichere Kommunikation und Urheberrechtsschutz in der 3D-Welt: Alles ist da, aber nur derjenige sieht es, der den Schlüssel hat.

Technische Zusammenfassung

1. Problemstellung

Die schnelle Rekonstruktion von 3D-Szenen mittels Instant Neural Graphics Primitives (Instant-NGP) hat den Bereich der 3D-Visualisierung revolutioniert. Mit dem wachsenden Wert dieser 3D-Modelle als digitale Assets steigt jedoch die Notwendigkeit, sensible Informationen (wie Urheberrechtsdaten oder geheime Kommunikation) sicher und unmerklich in diesen Modellen zu verbergen.

Bestehende Methoden leiden unter mehreren gravierenden Einschränkungen:

• Geringe Kapazität: Viele Ansätze können nur kleine Datenmengen (z. B. Binärnachrichten oder einzelne 2D-Bilder) verstecken.
• Erkennbarkeit: Methoden, die große Datenmengen verstecken (z. B. GS-Hider), erfordern oft zusätzliche Parameter, externe Decoder oder Architekturänderungen. Dies macht die Modelle strukturell von Standard-Modellen unterscheidbar und damit leicht als steganografisch entlarvbar.
• Sicherheitsmängel: Viele Ansätze nutzen „Backdoors" (z. B. geheime Blickwinkel), die die Integrität des 3D-Modells beeinträchtigen oder eine begrenzte Kapazität aufweisen.

Das Ziel ist es, eine hochkapazitive, kryptografisch sichere Steganografie zu entwickeln, die keine zusätzlichen Parameter benötigt und für einen Angreifer von einem normalen Instant-NGP-Modell nicht unterscheidbar ist.

2. Methodik: StegoNGP

Die Autoren schlagen StegoNGP vor, ein parameterfreies Framework, das die inhärente Redundanz der Hash-basierten neuronalen Felder von Instant-NGP ausnutzt.

Kernprinzip: Schlüsselgesteuerte Szenenumschaltung

• Hash-Funktion als Schlüssel: In Instant-NGP werden 3D-Koordinaten über eine Hash-Funktion auf eine Feature-Tabelle abgebildet. Diese Funktion verwendet standardmäßig eine Sequenz aus großen Primzahlen ($\Pi$) als „Schlüssel".
• Dual-Scene Training: StegoNGP definiert eine neue Hash-Indexierungsfunktion $\psi(x, K)$, die eine geheime Primzahl-Sequenz $K$ (den steganografischen Schlüssel) verwendet.
• Ein Modell, zwei Szenen: Ein einziges Instant-NGP-Modell wird trainiert, um zwei Szenen gleichzeitig zu optimieren:
  1. Die Cover-Szene ($S$): Wird mit dem Standard-Schlüssel $\Pi$ gerendert.
  2. Die Versteckte Szene ($B$): Wird nur mit dem geheimen Schlüssel $K$ rekonstruiert.
• Zero-Overhead: Da nur die Hash-Indexierung geändert wird und keine neuen Netzwerkschichten oder Parameter hinzugefügt werden, ist das resultierende Modell in Größe und Architektur identisch mit einem Standard-Instant-NGP-Modell.

Multi-Key Schema (Erweiterung)
Um die Sicherheit weiter zu erhöhen, wird ein Multi-Key Level-Assignment Scheme eingeführt. Anstatt einen einzigen Schlüssel für alle Hash-Ebenen zu verwenden, werden $m$ verschiedene geheime Schlüssel auf die $L$ Auflösungsstufen zyklisch verteilt.

• Ein Angreifer muss nicht nur einen, sondern alle $m$ Schlüssel sowie deren Zuordnung kennen, um die versteckte Szene zu entschlüsseln.
• Dies erweitert den Schlüsselraum exponentiell und macht das Modell extrem robust gegen partielle Schlüsseloffenlegungen.

3. Wichtige Beiträge

1. Parameterfreies Design: Im Gegensatz zu GS-Hider (der zusätzliche sphärische Harmonische und Decoder benötigt) fügt StegoNGP 0 MB zusätzliche Parameter hinzu. Das Modell ist strukturell unsichtbar.
2. Hohe Kapazität: Es ist möglich, eine komplette, hochwertige 3D-Szene in einer anderen 3D-Szene zu verstecken, nicht nur 2D-Bilder oder Metadaten.
3. Kryptografische Sicherheit: Die Sicherheit basiert auf der Geheimhaltung des Primzahl-Schlüssels. Ohne den exakten Schlüssel entsteht nur Rauschen; mit dem falschen Schlüssel wird die Cover-Szene perfekt dargestellt (Plausible Deniability).
4. Robustheit: Das Multi-Key-Schema bietet einen extrem hohen Schutz gegen Brute-Force-Angriffe und partielle Entschlüsselungsversuche.

4. Ergebnisse und Experimente

Die Autoren führten Experimente auf synthetischen (Blender) und realen (Mip-Nerf-360) Datensätzen durch.

• Rekonstruktionsqualität: StegoNGP erreicht eine hohe Bildqualität für sowohl die Cover- als auch die versteckte Szene. Die Metriken (PSNR, SSIM, LPIPS) sind mit dem Standard-Instant-NGP (Baseline) vergleichbar oder übertreffen diese teilweise leicht (möglicherweise durch Regularisierungseffekte).
• Vergleich mit GS-Hider:
  • GS-Hider: Hohe Qualität, aber +20,54 MB Parameter und strukturell erkennbar.
  • StegoNGP: Etwas geringere Qualität in komplexen Szenen (durch Hash-Kollisionen bei doppelten Szenen), aber 0 MB Overhead und nicht erkennbar.
• Schlüssel-Sensitivität:
  • Mit dem Standard-Schlüssel $\Pi$: Perfekte Wiedergabe der Cover-Szene.
  • Mit dem geheimen Schlüssel $K$: Perfekte Wiedergabe der versteckten Szene.
  • Mit falschen oder partiellen Schlüsseln: Das Ergebnis ist inkohärentes Rauschen.
• Sicherheit: Die Analyse des Schlüsselraums zeigt, dass selbst für das Basis-Modell (3 Primzahlen) eine Brute-Force-Angriffszeit von ca. $7,4 \times 10^{16}$ Jahren (bei modernster Hardware) notwendig wäre. Das Multi-Key-Schema (16 Ebenen) erhöht dies auf ein astronomisches Maß ($2^{1380}$).
• Hash-Kollisionen: Bei komplexen realen Szenen führt das gleichzeitige Laden zweier Szenen in dieselbe Feature-Tabelle zu Hash-Kollisionen, was die Qualität leicht mindert. Die Autoren zeigen jedoch, dass eine Vergrößerung der Hash-Tabelle diese Qualitätseinbußen signifikant reduziert.

5. Bedeutung und Fazit

StegoNGP stellt einen Paradigmenwechsel in der 3D-Steganografie dar. Es beweist, dass es möglich ist, hochkapazitive, kryptografisch gesicherte Daten in neuronalen 3D-Feldern zu verstecken, ohne die Integrität des Modells zu beeinträchtigen oder es durch zusätzliche Parameter zu verraten.

• Anwendungsfälle: Urheberrechtsschutz (Verstecken von Metadaten), sichere Kommunikation und der Schutz digitaler Assets.
• Innovation: Die Umwandlung der Hash-Funktion in einen schaltbaren Mechanismus nutzt die strukturelle Redundanz von Instant-NGP auf elegante Weise, die bisher ungenutzt war.
• Zukunft: Das Framework bietet eine neue Basis für unsichtbare Informationshiding-Technologien in der neuronalen Grafik, die sowohl sicher als auch effizient sind.

Zusammenfassend bietet StegoNGP eine Lösung, die die Lücke zwischen hoher Kapazität und absoluter Unsichtbarkeit schließt, was für die Sicherheit zukünftiger 3D-Digitalassets von entscheidender Bedeutung ist.