기술 요약: InvCISD – 확산 모델을 이용한 가역적 커버리스 이미지 스테가노그래피

문제 정의

커버리스 이미지 스테가노그래피(CIS)는 기존의 커버 이미지를 수정하는 대신 무에서부터 스테고 이미지를 합성하며, 이를 통해 권한이 있는 수신자가 원래의 비밀 이미지를 재구성할 수 있게 한다. 최근의 확산 기반 CIS 방식들은 자연스러운 외관의 스테고 이미지를 생성할 수 있지만, 비밀 이미지와 스테고 이미지 사이의 상당한 시각적 유사성이라는 치명적인 보안 취약점을 겪고 있다.

기존 방식들은 높은 충실도의 복구를 보장하기 위해 일반적으로 비밀 이미지의 잠재 표현(latent representation)에 따라 스테고 이미지 생성을 조건화한다. 그러나 이는 스테고 이미지가 비밀 이미지의 인지 가능한 구조적 및 의미적 단서(예: 물체의 실루엣, 공간적 레이아웃)를 유지하게 만든다. 본 논문에서 입증되었듯, 단순히 비밀 이미지와 참조 프롬프트 간의 콘텐츠 이질성을 높이는 것만으로는 비밀 정보가 두드러지게 나타나는 부자연스러운 스테고 이미지를 초래한다. 핵심 과제는 스테고 품질이나 비밀 재구성의 충실도를 저해하지 않으면서, 비밀 이미지와 스테고 이미지 사이의 상당한 시각적 비유사성을 달로 달성하는 것이다. 또한, 본 논문은 현재의 CIS 방식들이 표적 스테가날리시스(steganalysis) 모델에 의해 여전히 높은 탐지율을 보인다는 점을 지적하며, 시각적 비유사성만으로는 보안을 확보하기에 불충분함을 명시한다.

방법론: InvCISD 프레임워크

저자들은 가역적인 정보 경로를 유지하면서 스테고 이미지의 시각적 외관을 비밀 이미지로부터 분리하도록 설계된 가역적 확산 프레임워크인 InvCISD를 제안한다.

핵심 아키텍처

이 프레임워크는 사전 학습된 확산 모델(Stable Diffusion v1.5)의 잠재 공간(latent space)에서 작동하며, 두 가지 주요 단계로 구성된다:

1. 잠재 가역 매핑 (LIMNet):

   • 비밀 이미지($x_s$)와 관련 없는 참조 이미지($x_r$)를 EDICT를 사용하여 확산 잠재 변수($\ell_s$ 및 $\ell_r$)로 역전(invert)시킨다.
   • 8개의 아핀 결합 블록(affine coupling blocks)으로 구성된 가역 신경망인 LIMNet은 쌍 $[\ell_s, \ell_r]$을 비밀을 포함하는 잔차($f$)와 보조 잠재 변수($z$)로 매핑한다.
   • 스테고 잠재 변수($\ell_h$)는 참조 잠재 변수에 잔차를 더하여 구축된다: $\ell_h = \ell_r + f$.
   • 스테고 이미지($x_h$)는 IP-Adapter를 통해 참조 이미지의 특징을 조건으로 하여 $\ell_h$를 디코딩함으로써 생성되며, 이를 통해 가시적인 콘텐츠가 비밀이 아닌 참조 이미지에 의해 제어되도록 보장한다.

2. 복구 과정:

   • 수신자는 공유된 프롬프트와 시드를 사용하여 참조 이미지를 재생성($x'_r$)한다.
   • 수신된 스테고($x'_h$)와 재생성된 참조 이미지($x'_r$)를 모두 역전시켜 $\ell'_h$와 $\ell'_r$을 얻는다.
   • 잔차는 $f' = \ell'_h - \ell'_r$로 복구된다.
   • $z$를 전송하는 것은 보안에 취-약하므로, 수신자는 새로운 보조 잠재 변수 $z' \sim \mathcal{N}(0, I)$를 샘플링하고 역(inverse) LIMNet 매핑을 적용하여 $\hat{\ell}_s$를 복구하며, 이를 디코딩하여 비밀 이미지 $\hat{x}_s$를 재구성한다.

훈련 전략

저자들은 2단계 훈련 파이프라인을 채택한다:

1. 잠재 변수 전용 훈련 (Latent-Only Training): LIMNet은 캐시된 잠재 쌍(latent pairs) 상에서 정규화된 잠재 재구성 손실을 최적화하도록 훈련된다. 이 단계에는 수신자가 실제 $z$를 샘플링된 $z'$로 대체할 때 발생하는 기대 오차를 최소화하기 위한 보조 잠재 정규화기($R_z$)가 포함된다.
2. 엔드 투 엔드 미세 조정 (End-to-End Fine-Tuning): 전체 네트워크(LIMNet + 확산 역전/생성 모듈)를 미세 조정한다. 이 단계에서는 디코딩된 스테고와 참조 이미지 간의 차이(자연스러움 보장) 및 재구성된 비밀과 원래 비밀 간의 차이를 모두 처벌(penalize)한다.

이론적 통찰

본 논문은 보조 잠재 변수 $z$의 노름(norm)을 최소화하는 것($R_z$를 통해)이 복구 과정에서 $z$가 무작위 샘플 $z'$로 교체될 때 발생하는 기대 제곱 오차를 직접적으로 제한한다는 이론적 분석을 제공한다. 이를 통해 시스템은 보조 잠재 데이터를 전송하지 않고도 기능할 수 있어, "커버리스" 전송의 특성을 보존한다.

주요 기여

1. 새로운 목적 함수의 정식화: 본 논문은 고품질 생성 및 재구성을 유지하면서 비밀-스테고 시각적 비유사성을 높이는 과제를 명시적으로 정식화하였으며, 이는 CIS 설계에서 이전에 충분히 탐구되지 않았던 차원이다.
2. LIMNet 및 훈련 파이프라인: 보조 잠재 데이터를 전송하지 않고도 신뢰할 수 있는 복구를 가능하게 하는 가역적 잠재 매핑 네트워크(LIMNet)와 맞춤형 2단계 훈련 전략 및 보조 잠재 정규화기를 제안하였다.
3. 포괄적 평가: 소스 캡션과 평가 프롬프트를 포함하는 데이터셋인 Unistega_full을 도입하였으며, 가시적 누출, 재구성 품질, 스테고 품질, 비밀-스테고 비유사성, 스테가날리시스 탐지 가능성의 5가지 측면을 다루는 엄격한 평가 프로토콜을 수행하였다.

실험 결과

Unistega_full 데이터셋에 대한 실험에서 InvCISD를 최신 베이스라인인 CRoSS 및 DiffStega와 비교하였다.

• 시각적 비유사성: InvCISD는 현저히 높은 비유사성을 달성했다. 비밀과 스테고 사이의 LPIPS(Learned Perceptual Image Patch Similarity) 점수는 InvCISD가 0.871로, CRoSS(0.481) 및 DiffStega(0.487)보다 높았다.
• 스테고 품질: InvCISD는 PSNR, SSIM, LPIPS, CLIPScore 등의 스테고 품질 지표에서 베이스라인을 능가하였으며, 이는 생성된 이미지가 더 자연스럽고 참조 프롬프트와 일치함을 나타낸다.
• 재구성 품질: 높은 시각적 비유사성에도 불구하고, InvCISD는 베이스라인과 비슷하거나 더 나은 만족스러운 비밀 재구성 품질(PSNR ~19.10 dB)을 유지했다.
• 스테가날리시스: 결정적으로, 본 논문은 모든 평가된 방법(InvCISD 포함)이 참조-스테고 쌍으로 학습된 CIS 지향 스테가날리시스 모델(XuNet)에 의해 높게 탐지됨을 보고한다. 이는 시각적 비유사성이 개선되었음에도 불구하고, 이것이 표적 스테가날리시스에 대한 저항성을 반드시 제공하지는 않는다는 것을 의미한다.

의의 및 주장

본 논문은 InvCISD를 확산 기반 CIS에 내재된 "가시적 비밀 누출" 문제를 해결하기 위한 진일보한 단계로 포지셔닝한다. 스테고의 시각적 외관을 비밀로부터 성공적으로 분리함으로써, 이 방법은 인간 또는 자동화된 검사에 의해 구조적 및 의미적 단서가 노출될 위험을 줄인다.

그러나 저자들은 보안적 함의에 대해 신중하고 방어적인 태도를 유지한다:

• 본 연구는 운영적으로 안전한 은닉 채널이 아니라, 통제된 연구 및 방어적 분석을 목적으로 한다.
• 주요 기여는 가시적 비밀 누출을 실패 모드로 노출하고 더 강력한 포렌식 평가를 유도하는 데 있다.
• 본 논문은 실험에서 나타난 높은 탐지율을 근거로, 시각적 비유사성만으로는 암호학적 보안이나 스테가날리시스에 대한 저항력을 제공하지 못함을 명시적으로 인정한다.
• 향후 연구 과제로 이미지 섭동(perturbation)에 대한 강건성 개선과 확산 역전의 민감도 문제를 다루는 것이 필요하다고 명시하며, 즉각적인 배포 준비성을 주장하지 않는다.