OD-Stega: LLM-Based Relatively Secure Steganography via Optimized Distributions

기술 요약: OD-Stega

문제 정의
본 논문은 거대 언어 모델(LLM)을 이용한 **커버리스 스테가노그래피(coverless steganography)**의 과제를 다룹니다. 이 설정에서 송신자(Alice)는 숨겨진 비밀 메시지를 포함하는 텍스트를 생성하여, 도청자(Eve)가 모니터링하는 공개 채널을 통해 수신자(Bob)에게 전송합니다. 주요 목표는 생성된 텍스트의 자연스러움(불가시성)을 유지하면서 임베딩 활용도(토큰당 숨겨진 비밀 비트 수)를 극대화하는 것입니다.

전통적인 LLM 기반 스테가노그래피는 산술 부호화(Arithmetic Coding, AC)에 의존하며, 여기서는 비밀 메시지가 LLM의 고유 확률 분포에 따라 토큰 샘plectic(sampling)을 유도합니다. 그러나 LLM은 종종 매우 결정론적인 출력(낮은 엔트로피)을 생성하므로, 임베딩할 수 있는 정보량이 제한됩니다. 또한, 기존 방식들은 스테고 텍스트(stego-text)가 어떠한 탐지 능력 하에서도 자연스러운 텍스트와 구별되지 않아야 한다는 "완벽하게 안전한" 체제를 가정하는 경우가 많습니다. 저자들은 많은 실제 시나리오에서 Eve가 "약한 탐지기"(예: 계산 능력이 제한되거나 지연 제약이 있는 경우)라는 점을 지적하며, 이를 통해 보안 제약을 완화함으로써 더 높은 임베딩 용량을 달면 된다고 주장합니다. 이는 **상대적으로 안전한 스테가노그래피(relatively secure steganography)**라는 개념으로 이어집니다.

방법론
제안된 방법인 OD-Stega(Optimized Distribution Steganography)의 핵심은 LLM의 고유한 다음 토큰 확률 분포 $P$를, $P$와의 발산(divergence)에 대한 제약 조건 하에서 더 높은 엔트로피를 갖는 최적화된 분포 $Q$로 교체하는 것입니다.

1. 최적화 정식화:
   문제는 $Q$와 $P$ 사이의 발산 제약 $D(Q || P) \leq \delta$ (여기서 $\delta$는 Eve의 탐지 능력에 기반한 허용 가능한 편차를 나타냄)를 조건으로 하여 $Q$의 섀넌 엔트로피 $H(Q)$를 최대화하는 것으로 정식화됩니다. 저자들은 두 가지 발산 척도를 고려합니다:

   • 쿨백-라이블러(KL) 발산: 최적의 $Q$는 원래 분포 $P$의 로짓(logits)에 **온도 스케일링(temperature scaling)**을 적용하여 얻을 수 있다는 폐쇄형 해(closed-form solution)가 도출됩니다. 구체적으로, $Q$는 온도 파라미터 $T \geq 1$에 의해 스케일링된 $P$에 해당합니다.
   • 전변동(Total Variation, TV) 거리: 최적의 해는 "워터 필링(water-filling)" 절차를 따르며, 확률 질량을 고확률 토큰에서 저확률 토큰으로 재분배하여 확률을 일정 임계값까지 균등화함으로써 분포를 평탄하게 만듭니다.

2. 적응형 파라미터 선택:
   (특히 토큰 선택이 거의 결정론적인 저엔트로피 상황에서) 부자연스러운 텍스트 생성을 방지하기 위해, 발산 예산 $\delta$는 전역적으로 고정되지 않습니다. 대신, 현재 토큰의 엔트로피에 대한 함수로서 적응적으로 설정됩니다: $\delta_i = C \cdot H(P_i)$, 여기서 $C$는 튜닝 가능한 상수입니다.

3. 실제적인 엔지니어링 솔루션:
   논문은 세 가지 중요한 실무적 문제를 해결합니다:

   • 토크나이저 불일치(Tokenization Mismatch): 표준 토크나이저는 주어진 텍스트에 대해 고유한 토큰 시퀀스를 보장하지 않습니다(예: "mountain" vs "mount" + "ain"). 저자들은 Alice가 비밀 메시지에 짧은 "더미(dummy)" 비트($B$)를 앞에 붙이는 프롬프트 선택(prompt selection) 전략을 제안합니다. 그녀는 결과물인 스테고 텍스트가 Bob에 의해 올바르게 토크나이징되고 디코딩될 수 있을 때까지 $B$의 조합을 반복하며, 이후 Bob은 $B$를 버립니다.
   • 어휘 사전 절단(Vocabulary Truncation): 계산 복잡도를 줄이기 위해 어휘를 상위 $N_\epsilon$개 토큰(누적 확률이 $1-\epsilon$인 토큰)으로 절단합니다. 저자들은 전체 보안 예산을 정밀하게 제어할 수 있도록, 절단과 최적화 단계 전반에 걸쳐 총 KL 발산이 가산적(additive)임을 증证明합니다.
   • 비-AC 방법과의 통합: 이 접근 방식은 산술 부호화(AC)에 엄격하게 의존하지 않는 기술, 예를 들어 분포 복사본을 사용하는 Discop과 호환됨을 보여줍니다. 최적화된 분포는 이러한 프레임워크 내의 인코딩 단계 이전에 적용됩니다.

주요 기여

• 이론적 정식화: 본 논문은 보안 제약 하에서 임베딩 용량을 최대화하는 것이 토큰 분포의 엔트로피를 발산 제약 조건 하에서 최대화하는 것과 동일함을 확립합니다. 또한 KL 및 TV 제약 모두에 대한 폐쇄형 해를 제공합니다.
• OD-Stega 프레임워크: 토크나이징 오류를 검증 루프를 통해 해결하고, 검증을 통한 토크나이징 미스매치를 해결하며, 어휘 절단을 통해 계산 비용을 관리하는 실용적인 시스템을 통합합니다.
• OD-Discop: 최적화 기술이 다른 비-AC 기반 스테가노그래피 방식(구체적으로 Discop 기술)의 임베딩 효용성을 향상시키는 데 보편적으로 적용될 수 있음을 입증합니다.
• 경험적 검증: LLaMA2-7B 및 GPT2-XL 모델을 사용하여 임베딩 활용도, 최첨단 스테가날리시스(steganalysis) 도구(FCN, SESY, GS-Llama)에 대한 탐지율, 그리고 GPT-4를 통한 인간 유사성 인식을 평가하는 광범위한 실험을 수행했습니다.

실험 결과

• 임베딩 활용도: 실험은 보안과 용량 사이의 상당한 트레이드오프를 보여줍니다. 파라미터 $C$를 증가시킴으로써(이는 $\delta$를 증가시킴), 25개 토큰당 임베딩되는 비트 수가 크게 증가합니다.
  • 엄격한 제약 조건($C=0.01$, 강력한 탐지기 시뮬레이션) 하에서, 임베딩 활용도는 기본 절단 방식 대비 약 20% 증가했습니다.
  • 완화된 제약 조건($C=0.05$, 약한 탐지기 시뮬레이션) 하에서, 활용도는 최대 **55%**까지 증가했습니다.
• 스테가날리시스 성능: FCN, SESY, GS-Llama 탐지기에 대해 테스트했을 때:
  • 낮은 $C$ 값에서는 스테고 텍스트가 자연스러운 LLM 텍스트와 거의 구별되지 않았습니다(탐지율이 무작위 추측에 가까움).
  • $C$가 증가함에 따라 탐지율도 상승하였으며, 이는 보안 저하의 제어 가능한 특성을 확인시켜 줍니다.
• 인식 평가: GPT-4 평가 결과, 발산 파라미터와 텍스트가 비인간적인 것으로 분류될 가능성 사이에 상관관계가 있음이 나타났으며, 이는 스테가날리시스 결과와 일치합니다.
• 토크나이징 견고성: 제안된 비트 패딩 검증 방법은 전수 조사를 요구하지 않고도 토크나이징 미스매치를 성공적으로 해결했습니다.

의의 및 주장
본 논문은 OD-Stega가 상대적으로 안전한 스테가노그래피를 위한 원칙적인 접근 방식을 제공하며, 임베딩 용량과 탐지 가능성 사이의 균형을 맞추는 설계 자유를 제공한다고 주장합니다. "완벽하게 안전한" 방식들이 자연어 생성의 낮은 엔트로피로 인해 제한될 수 있는 것과 달리, OD-Stega는 정보 은닉을 극대화하기 위해 도청자(Eve)의 한계를 명시적으로 이용합니다.

저자들은 이 방법이 **보편적(universal)**이며, 기존의 AC 기반 및 비-AC 기반 방식(Disop 등)을 향상시킬 수 있다고 강조합니다. 저자들은 KL 발산(또는 TV 거리)을 단순한 이론적 척도가 아니라, 엔지니어가 특정 위협 모델과 애플리케이션 요구 사항에 따라 시스템을 조정할 수 있는 실질적인 제어 레버(하이퍼파라미터)로 활용할 수 있다고 위치시킵니다. 또한, 최적화가 계산 비용 문제로 인해 장기적인 예측 없이 토큰 단위로 수행된다는 점과, "불가시성 임계값"이 학습된 지각 모델이라기보다 튜닝 가능한 파라미터로 취급된다는 한계점을 인정하고 있습니다.