Technische Samenvatting: InvCISD – Invertibele Coverless Image Steganography met Diffusiemodellen

Probleemstelling

Coverless Image Steganography (CIS) synthetiseert een stego-afbeelding vanaf nul in plaats van een bestaande cover aan te passen, waardoor geautoriseerde ontvangers de originele geheime afbeelding kunnen reconstrueren. Hoewel recente diffusie-gebaseerde CIS-methoden natuurgetrouwe stego-afbeeldingen kunnen genereren, lijden ze aan een kritiek beveiligingslek: substantiële visuele gelijkenis tussen de geheime afbeelding en de stego-afbeelding.

Bestaande benaderingen conditioneren de generatie van de stego-afbeelding doorgaans op de latente representatie van het geheim om een hoge getrouwheid bij herstel te garanderen. Dit resulteert er echter in dat de stego-afbeelding herkenbare structurele en semantische aanwijzingen van het geheim behoudt (bijv. object-silhouetten, ruimtelijke lay-outs). Zoals in het paper wordt aangetoond, leidt het simpelweg vergroten van de inhoudelijke divergentie tussen het geheim en de referentieprompt vaak tot onnatuurlijke stego-afbeeldingen waar de informatie van het geheim nog steeds prominent aanwezig is. De kernuitdaging is het bereiken van substantiële visuele ongelijkheid tussen de geheime afbeelding en de stego-afbeelding zonder de kwaliteit van de stego-afbeelding of de getrouwheid van de reconstructie van het geheim in gevaar te brengen. Bovendien merkt het paper op dat huidige CIS-methoden zeer detecteerbaar blijven door gerichte steganalyse-modellen, wat aangeeft dat visuele ongelijkheid alleen onvoldoende is voor beveiliging.

Methodologie: InvCISD Framework

De auteurs stellen InvCISD voor, een invertibel diffusie-framework dat ontworpen is om de visuele verschijning van de stego-afbeelding te ontkoppelen van de geheime afbeelding, terwijl een omkeerbaar informatiepad behouden blijft.

Kernarchitectuur

Het framework opereert in de latente ruimte van een vooraf getraind diffusiemodel (Stable Diffusion v1.5) en bestaat uit twee hoofdfasen:

1. Latent Invertible Mapping (LIMNet):

   • De geheime afbeelding ($x_s$) en een ongerelateerde referentie-afbeelding ($x_r$) worden geïnverteerd naar diffusie-latents ($\ell_s$ en $\ell_r$) met behulp van EDICT.
   • LIMNet, een invertibel neuraal netwerk bestaande uit acht affine coupling blocks, brengt het paar $[\ell_s, \ell_r]$ in kaart naar een geheim-dragende residu ($f$) en een hulp-latent ($z$).
   • De stego-latent ($\ell_h$) wordt geconstrueerd door de residu toe te voegen aan de referentie-latent: $\ell_h = \ell_r + f$.
   • De stego-afbeelding ($x_h$) wordt gegenereerd door $\ell_h$ te decoderen, geconditioneerd op de kenmerken van de referentie-afbeelding (via IP-Adapter), waardoor de zichtbare inhoud wordt bepaald door de referentie in plaats van door het geheim.

2. Herstelproces:

   • De ontvanger regenereert de referentie-afbeelding ($x'_r$) met behulp van de gedeelde prompt en seed.
   • Zowel de ontvangen stego ($x'_h$) als de geregenereerde referentie ($x'_r$) worden geïnverteerd om $\ell'_h$ en $\ell'_r$ te verkrijgen.
   • De residu wordt hersteld als $f' = \ell'_h - \ell'_r$.
   • Omdat het verzenden van $z$ onveilig is, samplet de ontvanger een nieuwe hulp-latent $z' \sim \mathcal{N}(0, I)$ en past de inverse LIMNet-mapping toe om $\hat{\ell}_s$ te herstellen, die vervolgens wordt gedecodeerd om het geheim $\hat{x}_s$ te reconstrueren.

Trainingsstrategie

De auteurs hanteren een twee-fasen trainingspipeline:

1. Latent-Only Training: LIMNet wordt getraind op gecachte latent-paren om een geregulariseerde latente reconstructieverlies te optimaliseren. Deze fase bevat een hulp-latent regularisator ($R_z$) om de verwachte fout te minimaliseren die wordt geïntroduceerd wanneer de ontvanger de ware $z$ vervangt door een gesamplede $z'$.
2. End-to-End Fine-Tuning: Het volledige netwerk (LIMNet + diffusie-inversie/generatie modules) wordt gefinetuned. Deze fase straft het verschil af tussen de gedecodeerde stego en de referentie (om natuurlijkheid te waarborgen) en het verschil tussen de gereconstrueerde geheime afbeelding en de originele geheime afbeelding.

Theoretisch Inzicht

Het paper biedt een theoretische analyse die aantoont dat het minimaliseren van de norm van de hulp-latent $z$ (via $R_z$) de verwachte kwadratische fout direct beperkt wanneer $z$ tijdens herstel wordt vervangen door een willekeurige sample $z'$. Dit stelt het systeem in staat te functioneren zonder de hulp-latent te verzenden, waardoor het "coverless" karakter van de transmissie behouden blijft.

Belangrijkste Bijdragen

1. Formulering van een Nieuw Doel: Het paper formuleert expliciet de uitdaging om de visuele ongelijkheid tussen geheim en stego te vergroten terwijl een hoge kwaliteit van generatie en reconstructie behouden blijft, een dimensie die voorheen onderbelicht was in CIS-ontwerp.
2. LIMNet en Trainingspipeline: Het voorstel van een invertibel latent mapping netwerk (LIMNet) gekoppeld aan een op maat gemaakte twee-fasen trainingsstrategie en een hulp-latent regularisator om betrouwbare herstel mogelijk te maken zonder hulpgegevens te verzenden.
3. Uitgebreide Evaluatie: De introductie van Unistega_full, een dataset met bron-captions en evaluatieprompts, en een rigoureus evaluatieprotocol dat vijf aspecten dekt: zichtbare lekkage, reconstructiekwaliteit, stego-kwaliteit, geheim-stego ongelijkheid en steganalytische detecteerbaarheid.

Experimentele Resultaten

Experimenten op de Unistega_full dataset vergelijken InvCISD met de state-of-the-art baselines CRoSS en DiffStega.

• Visuele Ongelijkheid: InvCISD bereikt een aanzienlijk hogere ongelijkheid. De LPIPS (Learned Perceptual Image Patch Similarity) score tussen het geheim en de stego is 0,871 voor InvCISD, vergeleken met 0,481 (CRoSS) en 0,487 (DiffStega).
• Stego-kwaliteit: InvCISD presteert beter dan de baselines op het gebied van stego-kwaliteit (PSNR, SSIM, LPIPS, CLIPScore), wat aangeeft dat de gegenereerde afbeeldingen natuurlijker zijn en consistenter met de referentieprompt.
• Reconstructiekwaliteit: Ondanks de hoge visuele ongelijkheid behoudt InvCISD een bevredigende kwaliteit van de reconstructie van het geheim (PSkwaliteit ~19,10 dB), vergelijkbaar met of beter dan de baselines.
• Steganalyse: Cruciaal is dat het paper rapporteert dat alle geëvalueerde methoden (inclusief InvCISD) zeer detecteerbaar zijn door een voor CIS-georiënteerde steganalyse (XuNet) getraind op referentie-stego paren. Dit geeft aan dat hoewel de visuele ongelijkheid is verbeterd, dit momenteel niet voldoende weerstand biedt tegen gerichte steganalyse.

Betekenis en Claims

Het paper positioneert InvCISD als een stap voorwaarts in het aanpakken van het probleem van "zichtbare geheime lekkage" dat inherent is aan diffusie-gebaseerde CIS. Door de visuele verschijning van de stego te ontkoppelen van het geheim, vermindert de methode het risico dat structurele en semantische aanwijzingen worden blootgesteld aan menselijke of automatische inspectie.

De auteurs houden echter een bescheiden en defensieve houding aan met betrekking tot de beveiligingsimplicaties:

• Het werk is bedoeld voor gecontroleerd onderzoek en defensieve analyse, niet als een operationeel beveiligd kanaal.
• De primaire bijdrage is het blootleggen van zichtbare geheime lekkage als een faalmodus en het motiveren van sterkere forensische evaluatie.
• Het paper erkent expliciet dat visuele ongelijkheid alleen geen cryptografische beveiliging of weerstand tegen steganalyse biedt, zoals blijkt uit de experimenten met hoge detectiepercentages.
• Er wordt vastgesteld dat toekomstig werk noodzakelijk is om de robuustheid tegen beeldperturbaties te verbeteren en de gevoeligheid van diffusie-inversie aan te pakken, in plaats van direct inzetbaarheid te claimen.