基于GAN的生成式圖像隱寫方案

王耀杰，楊曉元，劉 佳

(武警工程大學網絡與信息安全武警部隊重點實驗室，西安710086)

(武警工程大學密碼工程學院，西安710086)

E-mail:wangyaojie0313@163.com

1 引言

隨著網絡通信和信息技術的快速發展，大量的網絡信息傳輸業務(包含個人隱私、商業機密、軍事信息等)都要求以隱蔽的方式傳輸通信信息.因此信息隱藏技術得到飛速發展，極大解決了隱蔽通信和版權保護等問題［1］.

根據秘密信息的隱藏方法，隱寫術可分為:載體修改、載體選擇和載體合成.修改原始載體是傳統隱寫術最常見的方法，但含密載體總會留下修改痕跡，這使得難以從根本上抵抗基于統計特性的隱寫檢測;載體選擇是隱寫者根據明文信息在普通圖像庫中選擇圖像，即原始載體信息不進行任何修改，避免了現有隱寫分析技術的威脅，但由于該方法的負載量太低，實際應用效果較差.為從根本上抵抗各類隱寫分析算法的檢測，基于載體合成的信息隱藏技術成為新的研究熱點之一，例如無載體信息隱藏［2］、構造式信息隱藏［3］等.與傳統信息隱藏方法相比，他們都避免了對原始載體信息的修改，而是根據秘密消息直接“生成/獲取”對應的含密載體.

本文利用對抗網絡中生成模型，將對稱密碼［4］和信息隱藏進行結合，提出了一種生成式的信息保護方案(GS-GAN).本文在生成對抗網絡［5］基礎上，創新性提出“生成式”圖像隱寫方案，主要貢獻可以歸納如下:

1)結合載體合成的思路，提出“生成式”圖像隱寫的這一概念，對生成的載體信息不做任何修改，能夠從根本上抵抗基于統計特性的隱寫檢測;

2)將對稱加密與信息隱藏結合，極大提高了安全性，增強了抵抗隱寫分析的能力，為信息隱藏和密碼學的發展拓展了新的思路;

3)提出了一種空間坐標化加密算法，符合Kerckhoffs準則［6］，同時能夠拓展維度增加計算復雜度.在定期更換密鑰前提下，該算法既容易實現，又難破譯.

2 預備知識

近兩年，一些最新研究已將對抗理論和機器學習等方法引入到信息安全領域.文獻［7］首次將機器學習引入密碼學領域，采用PassGAN的對抗模型替代人工產生的密碼規則，取得明顯的效果;Biggo等人［8］提出了攻防對抗模型的概念，進一步泛化對抗思想的應用場景.在信息隱藏方面，當前已有研究者將生成對抗網絡引入到隱寫技術當中，但他們使用的主要方法仍是在基于載體修改的框架上進行信息嵌入，代表方案有:

1)SGAN＆SSGAN

Volkhonskiy等［9］提出SGAN方案，首次將機器學習中的GAN與信息隱寫技術相結合，在原始GAN的基礎上添加一個消息嵌入模塊，與傳統方法區別在于，隱藏信息的載體為機器學習生成的偽自然圖像.同時，再額外訓練一個隱寫分析判別器以保證生成器的生成圖像與嵌入信息后的含密生成圖像無法區分，基本框圖如圖1所示.Shi等人［10］在這個框架下進行了改進，他們在原框架基礎上采用WGAN優化模型，使生成的載體圖像更加逼真.

圖1 SGAN的基本流程Fig.1 Structure of SGAN

該類方法的基本思路是借助于GAN的對抗思想，引入簡單的LSB修改模塊實現隱寫.一方面利用GAN中生成模型的優勢，確保生成的載體圖像符合自然圖像的統計特性;另一方面，額外增加隱寫分析判別器和消息嵌入模塊，確保生成的載體圖像對嵌入模塊的隱寫算法具有足夠的抗隱寫分析能力，因此該方案能生成滿足特定隱寫安全的原始圖像載體，其缺點是通用性差，無法有效抵抗其它隱寫分析方法的檢測.

2)ASDL-GAN

Tang等人［11］在基于加性失真代價函數的基礎上，首次提出自動的隱寫失真學習概念(Automatic Steganographic Distortion Learning，ASDL)，利用機器學習得到圖像像素修改概率矩陣P，然后再利用STC方法進行信息的嵌入，該方案被稱為ASDL-GAN.該方案利用對抗網絡學習生成器G，通過對G采樣得到修改概率矩陣P，通過概率矩陣P實現隱寫.用判別器D來區分由概率矩陣P得到的含密載體和原始載體，其基本結構如圖2所示.

為了使得概率矩陣P能夠被快速學習，他們提出一個微型的網絡TES作為概率矩陣的激活函數.Yang等人［12］提出了 UT-SCA-GAN(U-net，Tanh-simulator function，Selection Channel Awareness)，安全性進一步提高.為抵抗SCA隱寫分析［13］，該方案還引入富模型中30個高通濾波器的絕對值作為判別器的輔助條件.

與之前直接利用對抗過程構造原始載體的方法不同，該類方案利用原始載體作為輸入，再利用生成對抗網絡得到針對該原始載體的修改概率矩陣，然后借助當前基于STC編碼的方法實施基于載體修改的隱寫，該方案可以看作是一種改進的STC方法.

以上代表方案使用的主要方法仍是建立在基于載體修改的框架上進行嵌入信息，他們并沒有從根本上保持原始圖像的統計特征，也就是說，傳遞的含密載體上仍留有修改痕跡，難以抵抗基于統計特性的隱寫檢測.

圖2 ASDL-GAN框架Fig.2 Frame structure of ASDL-GAN

3 本文方案模型

為從根本上解決載體修改會留有修改痕跡這一問題，本文提出了基于GAN的生成式圖像隱寫方案，避免了對原始載體信息的修改，根據秘密消息直接生成相對應的含密載體.同時將對稱加密和隱寫技術相結合，符合Kerckhoffs準則，安全性進一步提高.方案的總體框架如圖3所示.

圖3 GS-GAN的結構Fig.3 Structure of GS-GAN

本文方案由對稱加密算法和圖像隱寫算法構成.其中對稱加密算法可進行空間坐標化，根據不同的密級進行維度拓展，本文以二維平面空間為例介紹算法的主要原理.

3.1 對稱加密算法

首先介紹對稱算法數學表達式如下所示:

其中m為明文，K為共享的密鑰(定期更換)，m'為公式(1)加密后的密文，即為隱藏信息后的載密信息.E(.)表示加密算法，D(.)表示解密算法.在該方案中加解密算法相同，E(.)和 D(.)兩者等價，均由 L(.)表示.

本文以二維平面空間為例介紹加密算法的原理，假設接收雙方預先商定，建立字典集(任意消息對應不同的X軸坐標的一一映射關系)，也就是說:在平面坐標中x軸上每個坐標點(m，0)代表不同的秘密信息，任意消息均可以被不同的m表示;共享密鑰K(kx，ky)可以是平面上的任意點(x軸上的點除外)，如圖4(a)所示.

發送者根據“兩點一線”數學原理，由m和K兩點確定直線L(m，K)，如圖4(b)所示.直線L作為簡單的密文庫(密文生成器)，可生成多個不同密文.發送者選擇一個隨機數r，然后在L上采樣獲得對應的密文，即采樣點為待隱藏的傳遞消息，如圖4(c)所示.

接收者收到含密圖像后提取出m'，通過L(m'，K)和x軸的交點可以很容易地得到m，秘密消息得到恢復，如圖4(d)所示.

圖4 對稱加密算法Fig.4 Symmetric encryption algorithm

3.2 圖像隱寫算法

結合載體合成的思想，在ACGAN輸入類別標簽生成特定圖像樣本的啟發下，我們保持ACGAN網絡模型不變，將類別標簽C直接替換為待隱藏傳遞信息m'，聯合噪聲z共同作為輸入，通過生成器直接生成載密圖像進行傳遞，在需要時通過判別器判別類別標簽即可提取信息，由此實現“生成式”圖像隱寫.

3.2.1 隱藏算法

圖5 隱藏算法的結構Fig.5 Structure of the hidden algorithm

在隱藏時，首先，將隱藏的 m'坐標點進行編碼，使之與類別標簽相對應;其次，聯合類別標簽和隨機噪聲Z輸入到ACGAN中，通過改變和控制不同的類別標簽生成相應的載密圖像，實現生成式圖像隱寫.隱藏方案如圖5所示，具體步驟如下:

步驟1.將m'坐標編碼成相應的類別標簽，并添加糾錯碼以形成新的類別標簽信息，記為(m');

步驟2.生成器中原始的類別標簽C直接用相應的的類別標簽(m')替換，并且和隨機噪聲Z一起輸入到預訓練的生成器中，通過去卷積和正則化的操作生成載密圖像G((m')，z)進行傳輸.3.2.2 提取算法

接收者采取反向過程提取隱藏的信息.將收到的載密圖像被輸入到ACGAN鑒別器D，但并不能直接輸出結果，而是對每個特定類別的提取特征，以概率形式進行比較，選擇最大概率值以匹配對應的類別標簽，進而解密獲得載密圖像中隱藏的m'坐標信息.提取信息的流程如圖6所示，具體步驟如下:

步驟1.接收方采取逆過程，將接收圖像G((m')，z)輸入到相應的鑒別器D，并輸出圖像中每個類別的似然對數logits［14］;

步驟2.使用softmax函數提取圖像中每個類別的特征，并且以概率形式進行輸出;

步驟3.選取概率最大的類別標簽，并將其提取得到秘密信息(m');

步驟4.秘密信息 (m')輸入到解碼器，解碼后的結果M';

步驟5.由于諸如噪聲和其它有意或無意攻擊之類的干擾，因此需要驗證解碼結果M'.如果校驗無誤，則可認為M'=m'，即實現隱藏信息的提取.

圖6 隱藏算法的結構Fig.6 Structure of the hidden algorithm

4 實驗結果和分析

在本文實驗中，采用的WGAN網絡的訓練如下:隨機噪聲z是(-1，1)上的均勻分布，CelebA數據集作為真實的訓練數據集，訓練周期為1000輪次.實驗環境如表1所示.

表1 實驗環境Table 1 Experimental environment

以C2D-BN-LR(Conv2d→Batch NormaliZation→Leaky ReLU)定義一個卷積神經網絡，ACGAN中圖像判別網絡(判別器D)的結構為:四個C2D-BN-LR層→一個完全連接的層(1個神經元)→Sigmoid函數(用來計算輸出).ACGAN中圖像生成網絡(生成器G)的結構是:完全連接層(8192個神經元)→四個C2D-BN-LR的反卷積層→tan(x)函數層.

ACGAN中的優化器使用基于動量的優化算法，學習率為0.0002，并更新變量 β1=0.5，β2=0.999.在實際訓練中，生成器和判別器權重更新策略是不同的，一般對判別器權重更新一次后，需要對生成器權重更新兩次.

4.1 可行性

為驗證本文方案的可行性，首先建立映射字典，即漢字與類別標簽的映射關系;其次，根據明文消息選擇對應的類別標簽，并使用ACGAN模型實現“生成式”信息的隱藏和提取.

4.1.1 建立映射字典

就本文方案而言，考慮到實際通信的需要，構建的映射字典基于中國國家標準代碼GB2312-80，首先有必要涵蓋所有的一級字庫漢字(即3755個漢字)，此外還需要覆蓋國家二級字庫和常用詞組及非中文圖形符號(包含有數字、拉丁字母、表情符號等)，以提高信息隱藏的容量.基于 mnist手寫數字集，總共有0-9個類別標簽，也就是說，每4個數字為一組(每個數字可以從10個數字中選擇)，總共10000個組構成映射字典，同時映射字典可由程序隨機建立對應關系和在類別標簽前添加正負號，以保證映射字典的隨機性，如表2所示.為了增加解密的難度，應當不定時替換映射字典或者減少相同映射字典的使用頻率.

表2 字典舉例Table 2 Examples of the dictionary

4.1.2 隱藏和提取實驗

為驗證該方案的可行性，本文僅以二維平面空間為例.在平面坐標內，隨機選擇秘密消息m為:終南山.在映射字典中查找得到類別標簽組合為:-1100，與其對應的m坐標為(-10.000，0);假設接收者和發送者預先共享密鑰K坐標為(1.000，11.000)，則采樣生成器直線L(m，k)為:y=x+10，隨機進行采樣取得采樣點m'坐標為(-3.124，6.876)，即為待隱藏的傳遞消息.

本文實驗中輸入標簽設置向量長度為40，將待隱藏的傳遞消息m'(-3.124，6.876)進行編碼(第1、21位表示正負號，1/0分別表示為正/負號;第2位至第20位表示x坐標;第22位至第40位表示y坐標)，得到的秘密信息(m')如下:

根據CelebA數據集上的標簽映射字典，它對應三個標簽分別是“微微開口”、“微笑”、“暗淡”.

正如我們所描述的，GS-GAN可以通過在生成器中輸入多個標簽來生成多標簽樣本.在CelebA數據集上每訓練400次就進行測試和驗證，得到的多標簽含密圖像如圖7所示，“無標簽”圖像為輸入噪聲生成的過程;“+微微張口”的圖像是由同一個噪聲和“微微張口”標簽聯合生成的;然后按順序添加標簽，即最后一個圖像是由相同的噪聲z和3個不同的標簽生成的.

提取信息的錯誤率如圖8所示.在6000次訓練之后，提取的信息錯誤率小于0.07，只需在編碼時添加糾錯碼，以確保解碼的正確性.由此也能看出，本方案實用性較強，不會因為通信過程中存在適當誤差而影響正確傳輸.

圖7 生成的含密圖像Fig.7 Generated encrypted pictures

圖8 提取到的錯誤標簽數量Fig.8 Number of error class labels extracted

圖9 提取信息的錯誤率Fig.9 Error rate of the message extraction

為進一步驗證方案的可行性，在上述實驗基礎上增加嵌入信息量，也就是增加含密圖像中標簽數量.如圖9(a)所示，標簽數量分別為3、5、7、9，隨著標數量增多，經過相同訓練次數情況下，提取信息的錯誤率也會增加.圖9(b)所示為經過8000次訓練之后，不同標簽數量情況下提取信息的平均錯誤率.提取信息錯誤率隨著標簽數量減少而降低，當標簽數量≤7時，經過8000次訓練之后，提取的信息錯誤率低于0.09，在添加糾錯碼的情況下能夠滿足現實通信的需要.

通過實驗可以看出，我們可根據指定的標簽信息生成相應的含密圖像，并從含密圖像中正確提取所選標簽，從而實現了信息的生成式隱藏和提取.當標簽數量不超過一定閾值時，本文方案傳輸錯誤率可以有效降低，而且無需對載體進行任何修改，可以更有效地抵抗對隱寫分析算法的檢測.

4.2 抗檢測性

為檢驗該方案的不可見性，本文使用S-UNIWARD算法［15］在CelebA數據集進行測試.以嵌入率為0.4bpp獲得60000張含密圖像S1，同時利用本文提出的方法，直接生成10000張含密圖像S2，兩者進行分析對比.使用SCNN方法對S1進行隱寫檢測的準確率為96%［16，17］.從 S1中隨機選擇50000張和原始CelebA數據集作為訓練集A，并且S1中其余10000張和原始CelebA數據集組成測試集B，以及生成圖像集S2與原始CelebA數據集組成測試集C.在隨機分組獨立測試情況下，隱寫檢測對比結果如表3所示.

表3 各測試集隱寫分析檢測結果Table 3 Accuracy of the steganalysis test

測試集C的檢測檢測率趨近0.5，明顯優于測試集B.實驗結果表明隱寫分析器基本不能在數據集中判別生成圖像的真實性.其原因是生成圖像沒有進行任何修改，根據秘密信息由生成器直接生成.

為進一步驗證方案的抗檢測性，本文又通過當前主流隱寫分析方案的統計方法進行驗證，驗證本文方案在安全性和抗檢測性上有不同程度提高.

4.3 安全性

本文方案的安全性基于兩個方面:首先是提出了一種簡單易行的加密算法.根據兩點一線數學原理，在無密鑰的前提下，單點無法確定直線L(m，K)，即暴力破解是不可行的.也就是說，系統安全性取決于所使用的密鑰的機密性，完全符合Kerckhoffs準則.同時可根據不同的密級進行空間維度的拓展，當保密級別較高時，增加空間維度，使攻擊者破譯的可能性大大增加，然而，加密和解密操作仍然保持線性關系，并且效率高.在定期更換密鑰前提下，該算法既容易實現，又難破譯;其次是隱藏信息的原始載體信息是由生成器直接生成的，能夠符合當前特定隱寫檢測的統計特性，較大增加抗隱寫分析的能力.但相比傳統基于載體修改的隱寫方法，通用性較差.

假設攻擊者懷疑發送的圖像包含秘密信息，也很難獲得相同的鑒別器提取出秘密信息.即使截獲隱藏的內容，在無密鑰的前提下，只會獲得無意義的結果，由此保證了隱蔽通信的安全性.

5 結論

本文提出本文提出了一種用于信息隱藏的生成式圖像隱寫方案(GS-GAN)，以生成對抗網絡技術為媒介，創新性提出“生成式”圖像隱寫的這一概念.一方面，將待隱藏信息作為驅動，直接生成含密圖像進行傳輸，符合載體合成的思想，可有效抵抗基于統計特性的隱寫檢測;另一方面，安全性基于接收雙方共享的密鑰，即使截獲隱藏的內容，在無密鑰的前提下，只會獲得無意義的結果，由此保證了隱蔽通信的安全性.我們使用CelebA數據集評估了GS-GAN方案的性能，理論分析和實驗結果表明了該方法的可行性和安全性.

如何改進判別模型D的結構以及改進ACGAN提取過程，是我們下步的重點研究方向.References:

［1］ Cabaj K，Caviglione L，Mazurczyk W，et al.The new threats of information hiding:the road ahead［J］.It Professional，2018:67-94.

［2］ Zhou Zhi-li，Cao Wei，Sun Xing-ming.Carrierless information hiding based on image bag-of-words model［J］.Journal of Applied Sciences，2016，34(5):527-536.

［3］ Zhang Xin-peng，Qian Zhen-xing，Li Sheng.Prospects of information hiding research［J］.Journal of Applied Sciences，2016，34(5):475-489.

［4］ Pei Hong-tao，Sun Jian-yan，Gai Hong-yu，et al.Analysis of symmetric encryption algorithm and implementation in java［J］.Computer Knowledge and Technology，2017，13(18):46-47.

［5］ Goodfellow I，Pouget-Abadie J，Mirza M.Generative adversarial networks［DB/OL］.http://arxiv.org/abs/1406.2661，2014-06-10.

［6］ Wang Jing，Jiang Guo-ping.Security analysis and improvement of a hyperchaotic image encryption algorithm［J］.Acta Phys.Sin.，2011，60(6):83-93.

［7］ Hitaj B，Gasti P，Ateniese G，et al.PassGAN:a deep learning approach for password guessing［J］.Pacific Rim Conference on Multimedia，2017，27(3):124-127.

［8］ Biggio B，Corona I，Maiorca D，et al.Evasion attacks against machine learning at test time［J］.Applied Mechanics and Materials，2017，8190(2):387-402.

［9］ Volkhonskiy D，Nazarov I，Borisenko B，et al.Steganographic generative adversarial networks［J］.Information Hiding and Multimedia Security，2017:201-208.

［10］Shi H，Dong J，Wang W，et al.SSGAN:secure steganography based on generative adversarial networks［J］.Pacific Rim Conference on Multimedia，2017:4-7.

［11］Tang W，Tan S，Li B，et al.Automatic steganographic distortion learning using a generative adversarial network［J］.IEEE Signal Processing Letters，2017，66(99):1-1.

［12］Yang J，Liu K，Kang X，et al.Spatial image steganography based on generative adversarial network［J/OL］.https://arxiv.org/abs/1804.07939.

［13］Chen Ming，Zhang Ru，Niu Xin-xin，et al.Overview of research on steganalysis techniques［J］.Journal of Computer Applications，2008，28(b06):31-33.

［14］Li Guo-chen.Feature word selection method based on log likelihood ratio test in text classification［J］.Chinese Journal of Information Science，1999，13(4):16-21.

［15］Abdulrahman H，Chaumont M，Montesinos P，et al.Color image steganalysis based on steerable gaussian filters bank［C］//ACM Workshop on Information Hiding and Multimedia Security，ACM，2016:109-114.

［16］Kunz R，Tetzlaff R，Wolf D.SCNN:a universal simulator for cellular neural networks［C］//IEEE International Workshop on Cellular Neural Networks ＆ Their Applications，IEEEXplore，1996:255-259.

［17］Liu M，Zhang M，Liu J，et al.A steganalysis method based on shallow convolution neural network［J］.Journal of Shandong University(Natural Science)，2018，76(3):63-70.

附中文參考文獻:

［2］周志立，曹 燚，孫星明.基于圖像Bag-of-Words模型的無載體信息隱藏［J］.應用科學學報，2016，34(5):527-536.

［3］張新鵬，錢振興，李 晟.信息隱藏研究展望［J］.應用科學學報，2016，34(5):475-489.

［4］裴宏韜，孫建言，蓋紅玉，等.對稱加密算法分析及用Java實現［J］.電腦知識與技術，2017，13(18):46-47.

［6］王 靜，蔣國平.一種超混沌圖像加密算法的安全性分析及其改進［J］.物理學報，2011，60(6):83-93.

［13］陳 銘，張 茹，鈕心忻，等.隱寫分析技術研究概述［J］.計算機應用，2008，28(b06):31-33.

［14］李國臣.文本分類中基于對數似然比測試的特征詞選擇方法［J］.中文信息學報，1999，13(4):16-21.