OD-Stega: LLM-Based Relatively Secure Steganography via Optimized Distributions

Technische Samenvatting: OD-Stega

Probleemstelling
Het artikel behandelt de uitdaging van coverless steganografie met behulp van Large Language Models (LLMs). In deze setting genereert een zender (Alice) tekst die een verborgen geheim bericht bevat, die vervolgens naar een ontvanger (Bob) wordt verzonden via een publiek kanaal dat wordt gemonitord door een afluisteraar (Eve). Het primaire doel is om de embedding utilization (het aantal verborgen geheime bits per token) te maximalen, terwijl de natuurlijkheid van de gegenereerde tekst (imperceptibiliteit) behouden blijft.

Traditionele LLM-gebaseerde steganografie vertrouwt op Arithmetic Coding (AC), waarbij het geheime bericht de sampling van tokens aanstuurt op basis van de natuurlijke waarschijnlijkheidsverdeling van het LLM. Echter, LLM's produceren vaak zeer deterministische outputs (lage entropie), wat de hoeveelheid informatie die kan worden ingebed beperkt. Bovendien gaan bestaande methoden vaak uit van een "perfect beveiligd" regime waarin de stego-tekst ononderscheidbaarbaar moet zijn van natuurlijke tekst onder elke detectiecapaciteit. De auteurs stellen dat in veel praktische scenario's Eve een "zwakke detector" is (bijv. computationeel beperkt of vertragingsgevoelig), wat een versoepeling van de beveiligingsrestricties mogelijk maakt om een hogere embedding-capaciteit te bereiken. Dit leidt tot het concept van relatief beveiligde steganografie.

Methodologie
De kern van de voorgestelde methode, OD-Stega (Optimized Distribution Steganography), houdt in dat de natuurlijke volgende-token waarschijnlijkheidsverdeling $P$ van het LLM wordt vervangen door een geoptimaliseerde verdeling $Q$ die een hogere entropie heeft, onderworpen aan een restrictie op de divergentie tussen $Q$ en $P$.

1. Optimalisatieformulering:
   Het probleem wordt geformuleerd als het maximaliseren van de Shannon-entropie $H(Q)$ van de vervangende verdeling $Q$, onderworpen aan een divergentie-restrictie $D(Q || P) \leq \delta$, waarbij $\delta$ de toelaatbare afwijking (beveiligingsbudget) vertegenwoordigt op basis van de detectiecapaciteiten van Eve. De auteurs beschouwen twee divergentie-maten:

   • Kullback-Leibler (KL) Divergentie: Een gesloten vorm oplossing is afgeleid waarbij de optimale $Q$ wordt verkregen door temperature scaling toe te passen op de logits van de oorspronkelijke verdeling $P$. Specifiek komt $Q$ overeen met $P$ geschaald door een temperatuurparameter $T \geq 1$.
   • Total Variation (TV) Afstand: De optimale oplossing volgt een "water-filling" procedure, waarbij waarschijnlijkheidsmassa wordt herverdeeld van tokens met een hoge waarschijnlijkheid naar tokens met een lage waarschijnlijkheid om de waarschijnlijkheden gelijk te trekken tot een bepaalde drempel, wat de verdeling effectief afvlakt.

2. Adaptieve Parameterselectie:
   Om de generatie van onnatuurlijke tekst te voorkomen (vooral in contexten met lage entropie waar tokenkeuzes bijna deterministisch zijn), wordt het divergentiebudget $\delta$ niet globaal vastgesteld. In plaats daarvan wordt het adaptief ingesteld als een functie van de huidige token-entropie: $\delta_i = C \cdot H(P_i)$, waarbij $C$ een instelbare constante is.

3. Praktische Engineeringoplossingen:
   Het artikel behandelt drie cruciale praktische kwesties:

   • Tokenization Mismatch: Standaard tokenizers garanderen geen unieke tokensequentie voor een gegeven tekst (bijv. "mountain" vs. "mount" + "ain"). De auteurs stellen een prompt selectie strategie voor waarbij Alice een korte sequentie van "dummy" bits ($B$) voor het geheime bericht plaatst. Zij iterereert door combinaties van $B$ totdat de resulterende stego-tekst correct getokeniseerd en gedecodeerd kan worden door Bob, die vervolgens $B$ verwijdert.
   • Vocabulaire Truncatie: Om de computationele complexiteit te verminderen, wordt de vocabulaire afgekapt tot de top $N_\epsilon$ tokens (waar de cumulatieve waarschijnlijkheid $1-\epsilon$ is). De auteurs bewijzen dat de totale KL-divergentie optelbaar is over de truncatie- en optimalisatiefases, waardoor nauwkeurige controle over het totale beveiligingsbudget mogelijk is.
   • Integratie met Non-AC Methoden: De aanpak wordt getoond compatibel te zijn met bestaande technieken die niet strikt vertrouwen op arithmetic coding, zoals Discop (dat distributiekopieën gebruikt). De geoptimaliseerde verdeling wordt toegepast vóór de encoding-stap in deze frameworks.

Belangrijkste Bijdragen

• Theoretische Formulering: Het artikel stelt vast dat het maximaliseren van de embedding-capaciteit onder een beveiligingsrestrictie gelijk is aan het maximaliseren van de entropie van de tokenverdeling onder een divergentie-restrictie. Het biedt gesloten vorm oplossingen voor zowel KL- als TV-restricties.
• OD-Stega Framework: Een praktisch systeem dat geoptimaliseerde distributies integreert met arithmetic coding, tokenization-fouten aanpakt via een verificatielus en computationele kosten beheert via vocabulaire truncatie.
• OD-Discop: Een demonstratie dat de optimalisatietechniek universeel kan worden toegepast om de embedding-utiliteit van andere steganografische methoden te verbeteren, specifiek de Discop-techniek.
• Empirische Validatie: Uitgebreide experimenten met LLaMA2-7B en GPT2-XL modellen, waarbij de embedding-utiliteit, detectiegraad tegen state-of-the-art steganalyse-tools (FCN, SESY, GS-Llama) en menselijke perceptie via GPT-4 worden geëvalueerd.

Experimentele Resultaten

• Embedding Utilization: De experimenten demonstreren een significante trade-off tussen beveiliging en capaciteit. Door de parameter $C$ te verhogen (wat de divergentie $\delta$ vergroot), neemt het aantal ingebedde bits per 25 tokens substantieel toe.
  • Met een strikte restrictie ($C=0.01$, wat een sterke detector simuleert), steeg de embedding-utiliteit met ongeveer 20% vergeleken met baseline truncatie-methoden.
  • Met een versoepelde restrictie ($C=0.05$, wat een zwakke detector simuleert), steeg de utiliteit met tot wel 55%.
• Steganalysis Prestaties: Bij tests tegen FCN, SESY en GS-Llama detectoren:
  • Voor lage $C$-waarden waren de stego-teksten grotendeels ononderscheidbaar van natuurlijke LLM-tekst (detectiegraad nabij willekeurige gokken).
  • Naarmageen $C$ toenam, steeg de detectiegraad, wat de controleerbare aard van de beveiligingsdegradatie bevestigt.
• Perceptie Evaluatie: GPT-4 evaluaties toonden een correlatie tussen de divergentieparameter en de waarschijnlijkheid dat de tekst als niet-menselijk werd gemarkeerd, consistent met de resultaten van de steganalyse.
• Tokenization Robuustheid: De voorgestelde bit-padding verificatiemethode loste tokenization mismatches succesvol op zonder dat een uitputtende enumeratie vereist was.

Betekenis en Claims
Het artikel claimt dat OD-Stega een principieel aanpak biedt voor relatief beveiligde steganografie, wat een ontwerpvrijheid biedt om de balans tussen embedding-capaciteit en detecteerbaarheid te beheren. In tegen tegenstelling tot "perfect beveiligde" methoden die beperkt kunnen worden door de lage entropie van natuurlijke taalgeneratie, exploiteert OD-Stega expliciet de beperkingen van de afluisteraar (Eve) om de informatieverberging te maximaliseren.

De auteurs benadrukken dat hun methode universeel is, in staat om zowel AC-gebaseerde als non-AC-gebaseerde schema's (zoals Discop) te verbeteren. Zij positioneren de KL-divergentie (of TV-afstand) niet alleen als een theoretische metriek, maar als een praktische controlehendel (hyperparameter) die ingenieurs in staat stelt het systeem af te stemmen op basis van het specifieke dreigingsmodel en de vereisten van de toepassing. Het werk erkent beperkingen, waarbij wordt opgemerkt dat de optimalisatie per token wordt uitgevoerd zonder langetermijn-look-ahead (vanwege computationele kosten) en dat de "imperceptibiliteitsdrempel" wordt behandeld als een instelbare parameter in plaats van een geleerd perceptueel model.