OD-Stega: LLM-Based Relatively Secure Steganography via Optimized Distributions

Resumen Técnico: OD-Stega

Planteamiento del Problema
El artículo aborda el desafío de la esteganografía sin cobertura (coverless steganography) utilizando Modelos de Lenguaje de Gran Escala (LLMs). En este escenario, un emisor (Alice) genera un texto que contiene un mensaje secreto oculto, el cual es transmitido a un receptor (Bob) a través de un canal público monitoreado por un espía (Eve). El objetivo principal es maximizar la utilización de la incrustación (el número de bits secretos ocultos por token) manteniendo al mismo tiempo la naturalidad del texto generado (imperceptibilidad).

La esteganografía tradicional basada en LLMs depende de la Codificación Aritmética (AC), donde el mensaje secreto dirige el muestreo de los tokens basándose en la distribución de probabilidad nativa del LLM. Sin embargo, los LLMs suelen producir salidas altamente deterministas (baja entropía), lo que limita la cantidad de información que se puede ocultar. Además, los métodos existentes a menudo asumen un régimen de "seguridad perfecta" donde el texto estego debe ser indistinguible del texto natural bajo cualquier capacidad de detección. Los autores argumentan que en muchos escenarios prácticos, Eve es un "detector débil" (por ejemplo, computacionalmente limitado o con restricciones de retardo), lo que permite una relajación de las restricciones de seguridad para lograr una mayor capacidad de incrustación. Esto conduce al concepto de esteganografía relativamente segura.

Metodología
El núcleo del método propuesto, OD-Stega (Optimized Distribution Steganography), consiste en reemplazar la distribución de probabilidad nativa $P$ del LLM por una distribución optimizada $Q$ que posee una mayor entropía, sujeta a una restricción sobre la divergencia entre ambas.

1. Formulación de la Optimización:
   El problema se formula como la maximización de la entropía de Shannon $H(Q)$ de la distribución de reemplazo $Q$, sujeta a una restricción de divergencia $D(Q || P) \leq \delta$, donde $\delta$ representa la desviación permitida (presupuesto de seguridad) basada en las capacidades de detección de Eve. Los autores consideran dos medidas de divergencia:

   • Divergencia de Kullback-Leibler (KL): Se deriva una solución de forma cerrada donde la $Q$ óptima se obtiene aplicando un escalado de temperatura (temperature scaling) a los logits de la distribución original $P$. Específicamente, $Q$ corresponde a $P$ escalada por un parámetro de temperatura $T \geq 1$.
   • Distancia de Variación Total (TV): La solución óptima sigue un procedimiento de "llenado de agua" (water-filling), donde la masa de probabilidad se redistribuye desde los tokens de alta probabilidad hacia los de baja probabilidad para igualar las probabilidades hasta un cierto umbral, aplanando efectivamente la distribución.

2. Selección Adaptativa de Parámetros:
   Para evitar la generación de texto antinatural (especialmente en contextos de baja entropía donde las elecciones de tokens son casi deterministas), el presupuesto de divergencia $\delta$ no es fijo globalmente. En su lugar, se establece de forma adaptativa como una función de la entropía del token actual: $\delta_i = C \cdot H(P_i)$, donde $C$ es una constante ajustable.

3. Soluciones de Ingeniería Práctica:
   El artículo aborda tres problemas prácticos críticos:

   • Desajuste de Tokenización: Los tokenizadores estándar no garantizan una secuencia de tokens única para un texto dado (por ejemplo, "mountain" frente a "mount" + "ain"). Los autores proponen una estrategia de selección de prompt donde Alice antepone una secuencia corta de "bits ficticios" ($B$) al mensaje secreto. Ella itera a través de combinaciones de $B$ hasta que el texto estego resultante pueda ser correctamente tokenizado y decodificado por Bob, quien luego descarta $B$.
   • Truncamiento del Vocabulario: Para reducir la complejidad computacional, el vocabulario se trunca a los $N_\epsilon$ tokens superiores (donde la probabilidad acumulada es $1-\epsilon$). Los autores demuestran que la divergencia KL total es aditiva a través de las etapas de truncamiento y optimización, lo que permite un control preciso del presupuesto de seguridad global.
   • Integración con Métodos No-AC: Se demuestra que el enfoque es compatible con técnicas existentes que no dependen estrictamente de la codificación aritmética, como Discop (que utiliza copias de la distribución). La distribución optimizada se aplica antes del paso de codificación en estos marcos de trabajo.

Contribuciones Clave

• Formulación Teórica: El artículo establece que maximizar la capacidad de incrustación bajo una restricción de seguridad es equivalente a maximizar la entropía de la distribución de tokens sujeta a una restricción de divergencia. Proporciona soluciones de forma cerrada tanto para las restricciones KL como para las de TV.
• Marco OD-Stega: Un sistema práctico que integra distribuciones optimizadas con codificación aritmética, abordando los errores de tokenización mediante un bucle de verificación y gestionando los costos computacionales mediante el truncamiento del vocabulario.
• OD-Discop: Una demostración de que la técnica de optimización puede aplicarse universalmente para mejorar la utilidad de la incrustación de otros métodos esteganográficos, específicamente la técnica Discop.
• Validación Empírica: Experimentos extensos utilizando modelos LLaMA2-7B y GPT2-XL, evaluando la utilización de la incrustación, las tasas de detección contra herramientas de estegoanálisis de vanguardia (FCN, SESY, GS-Llama) y la percepción humana vía GPT-4.

Resultados Experimentales

• Utilización de la Incrustación: Los experimentos demuestran un compromiso significativo entre seguridad y capacidad. Al aumentar el parámetro $C$ (lo que aumenta la divergencia $\delta$), el número de bits incrustados por cada 25 tokens aumenta sustancialmente.
  • Con una restricción estricta ($C=0.01$, simulando un detector fuerte), la utilización de la incrustación aumentó aproximadamente un 20% en comparación con los métodos de truncamiento base.
  • Con una restricción relajada ($C=0.05$, simulando un detector débil), la utilización aumentó hasta un 55%.
• Rendimiento del Estegoanálisis: Al ser probado contra detectores FCN, SESY y GS-Llama:
  • Para valores bajos de $C$, los textos estego fueron mayormente indistinguibles del texto natural de los LLM (tasas de detección cercanas al azar).
  • A medida que $C$ aumentó, las tasas de detección subieron, confirmando la naturaleza controlable de la degradación de la seguridad.
• Evaluación de Percepción: Las evaluaciones de GPT-4 mostraron una correlación entre el parámetro de divergencia y la probabilidad de que el texto fuera marcado como no humano, consistente con los resultados de estegoanálisis.
• Robustez de la Tokenización: El método de verificación de relleno de bits propuesto resolvió con éxito los desajustes de tokenización sin requerir una enumeración exhaustiva.

Significancia y Reivindicaciones
El artículo afirma que OD-Stega proporciona un enfoque fundamentado para la esteganografía relativamente segura, ofreciendo una libertad de diseño que equilibra la capacidad de incrustación y la detectabilidad. A diferencia de los métodos de "seguridad perfecta" que pueden verse limitados por la baja entropía de la generación de lenguaje natural, OD-Stega explota explícitamente las limitaciones del espía (Eve) para maximizar el ocultamiento de información.

Los autores enfatizan que su método es universal, capaz de mejorar esquemas existentes basados en AC y aquellos no basados en AC (como Discop). Posicionan la divergencia KL (o la distancia TV) no solo como una métrica teórica, sino como una palanca de control práctica (hiperparámetro) que permite a los ingenieros ajustar el sistema según el modelo de amenaza y los requisitos de la aplicación. El trabajo reconoce las limitaciones, señalando que la optimización se realiza token por token sin una visión de largo plazo (debido a los costos computacionales) y que el "umbral de imperceptibilidad" se trata como un parámetro ajustable en lugar de un modelo perceptivo aprendido.