⚡ electrical engineering

Secret-Stego Dissimilarity as a Design Axis: Invertible Coverless Image Steganography with Diffusion Models

本文提出了 InvCISD，一种利用参考图像和专用网络（LIMNet）来生成无掩码隐写图像的可逆扩散框架，该框架显著降低了隐写图像与秘密图像之间的视觉相似性，从而在保持高重建保真度的同时解决了安全性漏洞问题。

原作者： Hongxin Xu, Jianping Mei, Can Wang, Defang Chen

发布于 2026-08-17

📖 1 分钟阅读☕ 轻松阅读

原作者： Hongxin Xu, Jianping Mei, Can Wang, Defang Chen

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图发送一条秘密信息，但你不是把信息写在纸上并藏在一本书里，而是想把信息隐藏在一张图片之中。这就是**隐写术（steganography）**的世界——一种隐形通信的艺术。长期以来，标准的技巧是拿一张看起来很普通的照片（比如一张猫的照片），然后秘密地微调微小的像素，从而在其中隐藏一张秘密图像（比如一张地图）。问题在于，如果有人仔细观察这张“猫”的照片，隐藏的地图可能会留下一个幽灵般的轮廓，或者让照片看起来有点奇怪，从而暴露了意图。

最近，科学家们开始使用被称为**扩散模型（Diffusion Models）*的强大人工智能工具。把它们想象成可以根据描述从零开始绘制全新图像的数字艺术家。这些新方法不再是试图将秘密隐藏在现有的照片中，而是尝试去绘制*一张全新的图片，这张图片看起来是一个完全不同的主题（比如一场日落），但仍然在其中包含了秘密地图。其目标是让秘密图像与最终生成的图片看起来截然不同，以至于没人会怀疑。但问题在于，如果人工智能试图过度追求差异化，最终的图片可能会变成一个奇怪、充满故障感的混乱堆砌，或者导致秘密图像变得无法恢复。这是一个在让伪装具有说服力与保持秘密安全之间进行的微妙平衡。

这正是许鸿欣（Hongxin Xu）及其团队在他们的新论文**《作为设计轴心的秘密-隐写图像差异性》（Secret-Stego Dissimilarity as a Design Axis）**中所解决的难题。他们注意到，虽然之前的 AI 方法可以创建出精美的“无载体”（coverless）图像，但秘密图像与最终图像看起来仍然过于相似。这就像是试图把一个红苹果藏进一篮红苹果里；即使你把篮子涂成蓝色，苹果的形状依然清晰可见。作者认为，为了实现真正的安全性，秘密图像与最终的“隐写”图像需要看起来尽可能不同，同时又不能破坏图片的质量或丢失秘密。

为了解决这个问题，他们构建了一个名为 InvCISD 的新系统。想象一下，你有一张狗的照片，想把它发给朋友。与其只是修改那张狗的照片，InvCISD 会将那张狗的照片与一张完全无关的照片（比如一张复古出租车的照片）结合在一起，并在一个隐藏的数学空间中进行融合。它使用一个特殊的“魔法桥梁”（一个被称为 LIMNet 的可逆网络），将狗的秘密细节转化为一种能够完美契合出租车结构的格式。结果如何？最终的图像看起来像是一张酷炫且自然的复古出租车照片，但它却在内部承载着你的狗的秘密。当你的朋友收到这张出租车照片时，他们使用相同的“魔法桥梁”进行逆向操作，就能完美地将狗的照片重新提取出来。

该团队发现，他们的方法是一个游戏规则的改变者。通过精心训练他们的 AI，他们成功地让秘密图像与最终图像看起来产生了巨大的差异。在测试中，视觉差异（通过名为 LPIPS 的指标衡量）从旧方法的约 0.48 跳升到了新系统的 0.87。这是一个巨大的飞跃，意味着仅凭肉眼观察很难发现其中的秘密。与此同时，他们保持了最终的出租车照片看起来锐利且自然，并且仍能以极高的清晰度恢复狗的照片（重建得分高达 19.10 PSNR）。

然而，作者也谨慎地表示，这并不是一个“完美”的解决方案。他们进行了测试，以观察计算机是否能察觉到异样。他们发现，即使使用了这种看起来差异极大的新图像，专门的检测模型仍然能以很高的准确率分辨出秘密图像与伪装图像之间的区别。这表明，虽然让图像看起来不同是一个巨大的进步，但这还不能让系统对所有检测手段都免疫。论文总结道，虽然 InvCISD 成功地隐藏了秘密图像的视觉线索，但下一个重大挑战是如何让这些系统足够强大，从而能够欺骗那些正在寻找它们的侦查者。这是迈向正确方向的精彩一步，将一个“也许”式的伪装变成了一个“极有可能”的伪装，但这场数字安全的猫鼠游戏远未结束。

技术摘要：InvCISD —— 基于扩散模型的可逆无载体图像隐写术

问题陈述

无载体图像隐写术（Coverless Image Steganography, CIS）通过从头合成隐写图像而非修改现有的载体图像，使得授权接收者能够重建原始秘密图像。虽然近年来的基于扩散模型的 CIS 方法可以生成自然感逼真的隐写图像，但它们面临一个关键的安全漏洞：秘密图像与隐写图像之间存在显著的视觉相似性。

现有的方法通常通过将隐写图像的生成过程与秘密图像的潜在表示（latent representation）进行条件化，以确保高保真度的恢复。然而，这导致隐写图像保留了秘密图像可识别的结构和语义线索（例如，物体的轮廓、空间布局）。正如论文中所展示的，仅仅增加内容差异（content divergence）会导致生成的隐写图像变得不自然，且秘密信息依然清晰可见。核心挑战在于，如何在不损害隐写质量和秘密重建保真度的前提下，实现显著的视觉差异性（visual dissimilarity）。此外，论文指出，目前的 CIS 方法在面对针对性的隐写分析模型时仍然极易被检测，这表明仅靠视觉差异性不足以保障安全性。

方法论：InvCISD 框架

作者提出了 InvCISD，这是一个可逆扩散框架，旨在将隐写图像的视觉外观与秘密图像解耦，同时保持可逆的信息路径。

核心架构

该框架在预训练扩散模型（Stable Diffusion v1.5）的潜在空间内运行，由两个主要阶段组成：

潜在可逆映射（Latent Invertible Mapping, LIMNet）：
- 使用 EDICT 将秘密图像 ( $x_s$ ) 和一个无关的参考图像 ( $x_r$ ) 反转为扩散潜在变量（ $\ell_s$ 和 $\ell_r$ ）。
- LIMNet 是一个由八个仿射耦合块（affine coupling blocks）组成的不可逆神经网络，它将对 $[\ell_s, \ell_r]$ 进行映射，生成携带秘密信息的残差 ( $f$ ) 和一个辅助潜在变量 ( $z$ )。
- 隐写潜在变量 ( $\ell_h$ ) 通过将残差加到参考潜在变量上构建而成： $\ell_h = \ell_r + f$ 。
- 通过使用 IP-Adapter 以参考图像特征为条件对 $\ell_h$ 进行解码来生成隐写图像 ( $x_h$ )，从而确保可见内容受参考图像控制，而非受秘密图像控制。
恢复过程：
- 接收者使用共享的提示词（prompt）和种子（seed）重新生成参考图像 ( $x'_r$ )。
- 将接收到的隐写图像 ( $x'_h$ ) 和重新生成的参考图像 ( $x'_r$ ) 进行反转，得到 $\ell'_h$ 和 $\ell'_r$ 。
- 残差恢复为 $f' = \ell'_h - \ell'_r$ 。
- 由于传输 $z$ 是不安全的，接收者采样一个新的辅助潜在变量 $z' \sim \mathcal{N}(0, I)$ ，并应用逆向 LIMNet 映射来恢复 $\hat{\ell}_s$ ，随后将其解码以重建秘密图像 $\hat{x}_s$ 。

训练策略

作者采用了两阶段训练流水线：

仅潜在层训练（Latent-Only Training）： 在缓存的潜在对上训练 LIMNet，以优化正则化的潜在重建损失。此阶段包含一个辅助潜在正则项 ( $R_z$ )，用于最小化当接收者使用采样的 $z'$ 代替真实的 $z$ 时所引入的期望误差。
端到端微调（End-to-End Fine-Tuning）： 对整个网络（LIMNet + 扩散反转/生成模块）进行微调。此阶段惩罚解码后的隐写图像与参考图像之间的差异（以确保自然度），以及重建的秘密图像与原始秘密图像之间的差异。

理论见解

论文提供了一个理论分析，表明最小化辅助潜在变量 $z$ 的范数（通过 $R_z$ ）可以直接限制在恢复过程中用随机采样 $z'$ 替换 $z$ 时产生的期望平方误差。这使得系统能够在不传输辅助潜在变量的情况下运行，从而保留了“无载体”传输的特性。

核心贡献

提出新的目标函数： 论文明确提出了在保持高质量生成和重建的同时，提高秘密与隐写图像视觉差异性的挑战，这是一个此前在 CIS 设计中未被充分探索的维度。
LIMNet 与训练流水线： 提出了一个可逆潜在映射网络（LIMNet），并结合定制的两阶段训练策略和辅助潜在正则项，实现了无需传输辅助数据即可进行可靠恢复。
全面的评估： 引入了包含源提示词和评估提示词的 Unistega_full 数据集，并进行了涵盖五个方面的严格评估协议：可见泄露、重建质量、隐写质量、秘密-隐写差异性以及隐写分析可检测性。

实验结果

在 Unistega_full 数据集上的实验将 InvCISD 与最先进的基准模型 CRoSS 和 DiffStega 进行了对比。

视觉差异性： InvCISD 实现了显著更高的差异性。InvCISD 的秘密与隐写图像之间的 LPIPS（学习感知图像块相似度）分数为 0.871，而 CRoSS 为 0.481，DiffStega 为 0.487。
隐写质量： InvCISD 在隐写质量指标（PSNR, SSIM, LPIPS, CLIPScore）上优于基准模型，表明生成的图像更加自然且与参考提示词一致。
重建质量： 尽管具有极高的视觉差异性，InvCISD 仍保持了令人满意的秘密重建质量（PSNR $\approx$ 19.10 dB），与基准模型相当甚至更好。
隐写分析： 至关重要的是，论文报告称，当使用在参考-隐写对上训练的面向 CIS 的隐写分析模型（XuNet）时，所有评估的方法（包括 InvCISD）都具有高度可检测性。这表明，虽然视觉差异性得到了改善，但这目前并未转化为对针对性隐写分析的抵抗力。

意义与主张

论文将 InvCISD 定位为解决扩散模型 CIS 中固有的“可见秘密泄露”问题的进步。通过成功地将隐写图像的视觉外观与秘密图像解耦，该方法降低了人类或自动化检查暴露结构性和语义性线索的风险。

然而，作者对安全影响保持了谨慎且防御性的立场：

该工作旨在用于受控研究和防御性分析，而非作为一种操作级的安全隐蔽通道。
其主要贡献在于揭示了“可见秘密泄露”这一失效模式，并推动了更强的取证评估。
论文明确承认，视觉差异性本身并不提供密码学安全性或对隐写分析的抵抗力，这一点已在其实验的高检测率中得到证实。
作者指出，未来的工作重点应在于提高对图像扰动的鲁棒性，以及解决扩散反转的敏感性问题，而非声称其已具备即时部署能力。