Sintesi Tecnica: InvCISD – Steganografia d'Immagine Coverless Invertibile con Modelli di Diffusione

Problematica

La Steganografia d'Immagine Coverless (CIS) sintetizza un'immagine stego partendo da zero anziché modificare un'immagine cover esistente, permettendo ai destinatari autorizzati di ricostruire l'immagine segreta originale. Sebbene i recenti metodi CIS basati sulla diffusione possano generare immagini stego dall'aspetto naturale, essi soffrono di una vulnerabilità critica di sicurezza: la sostanziale somiglianza visiva tra l'immagine segreta e quella stego.

Gli approcci esistenti tipicamente condizionano la generazione dell'immagine stego sulla rappresentazione latente del segreto per garantire un'alta fedeltà di recupero. Tuttavia, ciò comporta che l'immagine stego conservi indizi strutturali e semantici riconoscibili del segreto (ad esempio, silhouette di oggetti, layout spaziali). Come dimostrato nel paper, aumentare semplicemente la divergenza di contenuto tra il segreto e il prompt di riferimento porta a immagini stego innaturali dove le informazioni del segreto rimangono prominenti. La sfida centrale è ottenere una sostanziale dissimiglianza visiva tra le immagini segreta e stego senza compromettere la qualità della stego o la fedeltà della ricostruzione del segreto. Inoltre, il paper osserva che gli attuali metodi CIS rimangono altamente rilevabili da modelli di steganalisi mirati, indicando che la sola dissimiglianza visiva non è sufficiente per la sicurezza.

Metodologia: Framework InvCISD

Gli autori propongono InvCISD, un framework di diffusione invertibile progettato per disaccoppiare l'aspetto visivo dell'immagine stego dall'immagine segreta, mantenendo al contempo un percorso informativo reversibile.

Architettura Core

Il framework opera nello spazio latente di un modello di diffusione pre-addestrato (Stable Diffusion v1.5) e consiste in due fasi principali:

1. Mappatura Invertibile Latente (LIMNet):

   • L'immagine segreta ($x_s$) e un'immagine di riferimento non correlata ($x_r$) vengono invertite in latenti di diffusione ($\ell_s$ ed $\ell_r$) tramite EDICT.
   • LIMNet, una rete neurale invertibile composta da otto blocchi di accoppiamento affine, mappa la coppia $[\ell_s, \ell_r]$ in un residuo contenente il segreto ($f$) e un latente ausiliario ($z$).
   • Il latente stego ($\ell_h$) viene costruito aggiungendo il residuo al latente di riferimento: $\ell_h = \ell_r + f$.
   • L'immagine stego ($x_h$) viene generata decodificando $\ell_h$ condizionata sulle caratteristiche dell'immagine di riferimento (tramite IP-Adapter), assicurando che il contenuto visibile sia governato dal riferimento piuttosto che dal segreto.

2. Processo di Recupero:

   • Il ricevitore rigenera l'immagine di riferimento ($x'_r$) utilizzando il prompt e il seed condivisi.
   • Sia lo stego ricevuto ($x'_h$) che il riferimento rigenerato ($x'_r$) vengono invertiti per ottenere $\ell'_h$ ed $\ell'_r$.
   • Il residuo viene recuperato come $f' = \ell'_h - \ell'_r$.
   • Poiché trasmettere $z$ non è sicuro, il ricevitore campiona un nuovo latente ausiliario $z' \sim \mathcal{N}(0, I)$ e applica la mappatura inversa di LIMNet per recuperare $\hat{\ell}_s$, che viene poi decodificato per ricostruire il segreto $\hat{x}_s$.

Strategia di Addestramento

Gli autori impiegano una pipeline di addestramento a due stadi:

1. Addestramento Solo-Latente: LIMNet è addestrata su coppie di latenti memorizzate per ottimizzare una perdita di ricostruzione latente regolarizzata. Questa fase include un regolarizzatore del latente ausiliario ($R_z$) per minimizzare l'errore atteso introdotto quando il ricevitore sostituisce il vero $z$ con un campione $z'$.
2. Fine-Tuning End-to-End: L'intera rete (LIMNet + moduli di inversione/generazione della diffusione) viene sottoposta a fine-tuning. Questa fase penalizza la differenza tra la stego decodificata e il riferimento (per garantire la naturalezza) e la differenza tra il segreto ricostruito e il segreto originale.

Approccio Teorico

Il paper fornisce un'analisi teorica che mostra come minimizzare la norma del latente ausiliario $z$ (tramite $R_z$) limiti direttamente l'errore quadratico atteso quando $z$ è sostituito da un campione casuale $z'$ durante il recupero. Ciò consente al sistema di funzionare senza trasmettere il latente ausiliario, preservando la natura "coverless" della trasmissione.

Contributi Chiave

1. Formulazione di un Nuovo Obiettivo: Il paper formula esplicitamente la sfida di aumentare la dissimiglianza visiva segreto-stego mantenendo un'alta qualità di generazione e ricostruzione, una dimensione precedentemente sottoesplorata nella progettazione CIS.
2. LIMNet e Pipeline di Addestramento: La proposta di una rete di mappatura latente invertibile (LIMNet) accoppiata a una strategia di addestramento a due stadi su misura e un regolarizzatore del latente ausiliario per consentire un recupero affidabile senza trasmettere dati ausiliari.
3. Valutazione Esaustiva: L'introduzione di Unistega_full, un dataset con caption sorgente e prompt di valutazione, e un rigoroso protocollo di valutazione che copre cinque aspetti: fuga visibile, qualità della ricostruzione, qualità della stego, dissimiglianza segreto-stego e rilevabilità della steganalisi.

Risultati Sperimentali

Gli esperimenti sul dataset Unistega_full confrontano InvCISD con i baseline allo stato dell'arte CRoSS e DiffStega.

• Dissimiglianza Visiva: InvCISD raggiunge una dissimiglianza significativamente più alta. Il punteggio LPIPS (Learned Perceptual Image Patch Similarity) tra segreto e stego è 0.871 per InvCISD, rispetto a 0.481 (CRoSS) e 0.487 (DiffStega).
• Qualità della Stego: InvCISD supera i baseline nei parametri di qualità della stego (PSNR, SSIM, LPIPS, CLIPScore), indicando che le immagini generate sono più naturali e coerenti con il prompt di riferimento.
• Qualità della Ricostruzione: Nonostante l'alta dissimiglianza visiva, InvCISD mantiene una qualità di ricostruzione del segreto soddisfacente (PSNR ~19.10 dB), comparabile o superiore ai baseline.
• Steganalisi: Fondamentalmente, il paper riporta che tutti i metodi valutati (incluso InvCISD) sono altamente rilevabili da un modello di steganalisi orientato alla CIS (XuNet) quando addestrato su coppie riferimento-stego. Ciò indica che, sebbene la dissimiglianza visiva sia migliorata, essa non conferisce attualmente resistenza contro la steganalisi mirata.

Significato e Rivendicazioni

Il paper posiziona InvCISD come un passo avanti nell'affrontare il problema della "fuga del segreto visibile" intrinseco nella CIS basata sulla diffusione. Decoupling con successo l'aspetto visivo della stego dal segreto, il metodo riduce il rischio che indizi strutturali e semantici vengano esposti all'ispezione umana o automatizzata.

Tuttavia, gli autori mantengono una posizione modesta e difensiva riguardo alle implicazioni di sicurezza:

• Il lavoro è inteso per la ricerca controllata e l'analisi difensiva, non come un canale coperto operativamente sicuro.
• Il contributo primario è l'esposizione della fuga del segreto visibile come un modo di guasto e la motivazione di una valutazione forense più forte.
• Il paper riconosce esplicitamente che la sola dissimiglianza visiva non fornisce sicurezza crittografica o resistenza alla steganalisi, come dimostrato dagli elevati tassi di rilevamento nei loro esperimenti.
• Il lavoro futuro è identificato come necessario per migliorare la robustezza contro le perturbazioni delle immagini e per affrontare la sensibilità dell'inversione della diffusione, piuttosto che rivendicare una prontezza di implementazione immediata.