Resumo Técnico: InvCISD – Esteganografia de Imagem Sem Cobertura Invertível com Modelos de Difusão

Declaração do Problema

A Esteganografia de Imagem Sem Cobertura (CIS - Coverless Image Steganography) sintetiza uma imagem estego do zero em vez de modificar uma cobertura existente, permitindo que os destinatários autorizados reconstruam a imagem secreta original. Embora os métodos recentes de CIS baseados em difusão possam gerar imagens estego de aparência natural, eles sofrem de uma vulnerabilidade de segurança crítica: similaridade visual substancial entre as imagens secreta e estego.

As abordagens existentes tipicamente condicionam a geração da imagem estego na representação latente do segredo para garantir uma reconstrução de alta fidelidade. No entanto, isso resulta na imagem estego retendo pistas estruturais e semânticas reconhecíveis do segredo (ex: silhuetas de objetos, layouts espaciais). Como demonstrado no artigo, simplesmente aumentar a divergência de conteúdo entre o segredo e o prompt de referência leva a imagens estego não naturais onde a informação do segredo permanece proeminente. O desafio central é alcançar uma dissimilaridade visual substancial entre as imagens secreta e estego sem comprometer a qualidade da estego ou a fidelidade da reconstrução do segredo. Além disso, o artigo observa que os métodos atuais de CIS permanecem altamente detectáveis por modelos de esteganálise direcionados, indicando que a dissimilaridade visual sozinha é insuficiente para a segurança.

Metodologia: Estrutura InvCISD

Os autores propõem o InvCISD, uma estrutura de difusão invertível projetada para desacoplar a aparência visual da imagem estego da imagem secreta, mantendo um caminho de informação reversível.

Arquitetura Central

A estrutura opera no espaço latente de um modelo de difusão pré-treinado (Stable Diffusion v1.5) e consiste em duas etapas principais:

1. Mapeamento Latente Invertível (LIMNet):

   • A imagem secreta ($x_s$) e uma imagem de referência não relacionada ($x_r$) são invertidas em latentes de difusão ($\ell_s$ e $\ell_r$) usando EDICT.
   • A LIMNet, uma rede neural invertível composta por oito blocos de acoplamento afim, mapeia o par $[\ell_s, \ell_r]$ para um resíduo portador do segredo ($f$) e um latente auxiliar ($z$).
   • O latente estego ($\ell_h$) é construído adicionando o resíduo ao latente de referência: $\ell_h = \ell_r + f$.
   • A imagem estego ($x_h$) é gerada decodificando $\ell_h$ condicionado às características da imagem de referência (via IP-Adapter), garantindo que o conteúdo visível seja governado pela referência, e não pelo segredo.

2. Processo de Recuperação:

   • O receptor regenera a imagem de referência ($x'_r$) usando o prompt e a semente compartilhados.
   • Tanto a estego recebida ($x'_h$) quanto a referência regenerada ($x'_r$) são invertidas para obter $\ell'_h$ e $\ell'_r$.
   • O resíduo é recuperado como $f' = \ell'_h - \ell'_r$.
   • Como transmitir $z$ é inseguro, o receptor amostra um novo latente auxiliar $z' \sim \mathcal{N}(0, I)$ e aplica o mapeamento inverso da LIMNet para recuperar $\hat{\ell}_s$, que é então decodificado para reconstruir o segredo $\hat{x}_s$.

Estratégia de Treinamento

Os autores empregam um pipeline de treinamento de duas etapas:

1. Treinamento Apenas de Latentes: A LIMNet é treinada em pares de latentes em cache para otimizar uma perda de reconstrução de latente regularizada. Esta etapa inclui um regularizador de latente auxiliar ($R_z$) para minimizar o erro esperado introduzido quando o receptor substitui o $z$ real por uma amostra $z'$.
2. Ajuste Fino de Ponta a Ponta (End-to-End Fine-Tuning): Toda a rede (LIMNet + módulos de inversão/geração de difusão) é ajustada finamente. Esta etapa penaliza a diferença entre a estego decodificada e a referência (para garantir naturalidade) e a diferença entre o segredo reconstruído e o segredo original.

Insight Teórico

O artigo fornece uma análise teórica mostrando que minimizar a norma do latente auxiliar $z$ (via $R_z$) limita diretamente o erro quadrático esperado quando $z$ é substituído por uma amostra aleatória $z'$ durante a recuperação. Isso permite que o sistema funcione sem transmitir o latente auxiliar, preservando a natureza "sem cobertura" (coverless) da transmissão.

Principais Contribuições

1. Formulação de um Novo Objetivo: O artigo formula explicitamente o desafio de aumentar a dissimilaridade visual segredo-estego enquanto mantém a geração e a reconstrução de alta qualidade, uma dimensão anteriormente subexplorada no design de CIS.
2. LIMNet e Pipeline de Treinamento: A proposta de uma rede de mapeamento latente invertível (LIMNet) acoplada a uma estratégia de treinamento de duas etapas personalizada e um regularizador de latente auxiliar para permitir a recuperação confiável sem transmitir dados auxiliares.
3. Avaliação Abrangente: A introdução do Unistega_full, um conjunto de dados com legendas de origem e prompts de avaliação, e um protocolo de avaliação rigoroso cobrindo cinco aspectos: vazamento visível, qualidade de reconstrução, qualidade da estego, dissimilaridade segredo-estego e detectabilidade por esteganálise.

Resultados Experimentais

Experimentos no conjunto de dados Unistega_full comparam o InvCISD contra as linhas de base de estado da arte CRoSS e DiffStega.

• Dissimilaridade Visual: O InvCIS de alcança significativamente maior dissimilaridade. A pontuação LPIPS (Learned Perceptual Image Patch Similarity) entre o segredo e a estego é de 0,871 para o InvCISD, comparado a 0,481 (CRoSS) e 0,487 (DiffStega).
• Qualidade da Estego: O InvCISD supera as linhas de base em métricas de qualidade de estego (PSNR, SSIM, LPIPS, CLIPScore), indicando que as imagens geradas são mais naturais e consistentes com o prompt de referência.
• Qualidade de Reconstrução: Apesar da alta dissimilaridade visual, o InvCISD mantém uma qualidade de reconstrução do segredo satisfatória (PSNR ~19,10 dB), comparável ou superior às linhas de base.
• Esteganálise: Crucialmente, o artigo relata que todos os métodos avaliados (incluindo o InvCISD) são altamente detectáveis por um modelo de esteganálise orientado a CIS (XuNet) quando treinado em pares de referência-estego. Isso indica que, embora a dissimilaridade visual tenha sido melhorada, ela não confere resistência contra esteganálise direcionada.

Significância e Alegações

O artigo posiciona o InvCISD como um avanço no enfrentamento do problema de "vazamento visível de segredo" inerente à esteganografia de imagem baseada em difusão. Ao conseguir desacoplar a aparência visual da estego do segredo, o método reduz o risco de pistas estruturais e semânticas serem expostas à inspeção humana ou automatizada.

No entanto, os autores mantêm uma postura modesta e defensiva em relação às implicações de segurança:

• O trabalho destina-se à pesquisa controlada e análise defensiva, não como um canal oculto operacionalmente seguro.
• A principal contribuição é expor o vazamento visível de segredo como um modo de falha e motivar uma avaliação forense mais forte.
• O artigo reconhece explicitamente que a dissimilaridade visual sozinha não fornece segurança criptográfica ou resistência contra esteganálise, conforme evidenciado pelas altas taxas de detecção em seus experimentos.
• Trabalhos futuros são identificados como necessários para melhorar a robustez contra perturbações de imagem e abordar a sensibilidade da inversão de difusão, em vez de alegar prontidão imediata para implantação.