基于自監督學習PBS-Net和通道提純的信息隱藏主動防御方法

摘 要：信息隱藏主動防御技術作為信息隱藏的對立面，能夠阻斷非法隱蔽通信的傳輸。然而，現有的主動防御方法過度依賴載體-載密圖像對，無法對未知載密圖像主動防御，使其防御的誤碼率在實際社交網絡中降低。針對上述問題，為了在通信雙方毫無察覺的情況下徹底阻斷秘密信息的傳輸，提出一種自監督學習盲點網絡和通道提純的主動防御方法。首先，通過像素混洗采樣策略降低載密圖像中像素之間的空間相關性，將學習方式從監督學習改進為自監督學習；其次，中心掩碼卷積和空洞卷積殘差塊用于消除載密圖像中的秘密信息；最后，設計通道提純模塊改善圖像紋理細節。該方法無須任何信息隱藏方案的先驗知識以及人工操作，使得在主機接收到可疑圖像之前消除秘密信息，阻斷社交網絡中的隱蔽通信。實驗結果表明，該方法具有高秘密信息破壞效果和高圖像質量，能夠達到100%的防御成功率，阻斷社交網絡中的隱蔽通信。同時，在不同負載率的數據集下，該方法與SC-Net和AO-Net進行對比，在秘密信息消除方面各提升14.14%和2.91%，在圖像質量方面各提升9.14%和43.34%。

關鍵詞：圖像隱寫分析；主動防御；自監督學習

中圖分類號：TP309.2"" 文獻標志碼：A

文章編號：1001-3695（2024）12-040-3822-07

doi： 10.19734/j.issn.1001-3695.2024.01.0108

Active defense method for information hiding based on self-supervised learning PBS-Net and channel purification

Ma Yuanyuana， b， Zhao Ying’aoa， Xu Fuyonga， Zhang Qianqiana， b， Xin Xianweia， b

（a. College of Computer amp; Information Engineering， b. Engineering Lab of Intelligence Business amp; Internet of Things， Henan Normal University， Xinxiang Henan 453007， China）

Abstract：As the opposite of information hiding， active defense technology can block the transmission of illegal hidden communication. However， the existing active defense methods rely too much on cover-stego image pair and cannot actively defend the unknown stego images， which reduce the bit error ratio in the actual social network. To solve these problems， this paper proposed an active defense method of self-supervised learning blind-spot network and channel purification in order to completely block the transmission of secret information without being noticed by both communication parties. Firstly， the method used pixel shuffling sampling to reduce the spatial correlation of pixels in stego images， and improve the learning mode from supervised learning to self-supervised learning. Secondly， it integrated centrally masked convolutions and dilated convolution residual blocks to eliminate secret information. Finally， it obtained the channel purification module to improve the image texture details. The method didn’t need any prior knowledge of information hiding schemes and manual operation， so that it could eliminate secret information before hosts receive suspicious images. The experimental results show that this method has high secret information destruction effect and high image quality， and can achieve 100% defense success rate and block covert communication in social networks. At the same time， under different payload data sets， the proposed method is compared with SC-Net and AO-Net， and the secret information elimination is improved by 14.14% and 2.91% respectively. The image quality was improved by 9.14% and 43.34% respectively.

Key words：image steganalysis; active defense; self-supervised learning

0 引言

作為信息隱藏在隱蔽通信中的主要方式，隱寫[1～3]將秘密信息嵌入在載體圖像中，使得載密圖像具備視覺上的不可感知性和統計上的不可檢測性。作為隱寫的對立面，隱寫分析[4～6]的目的在于揭示可疑圖像中的秘密信息。隱寫分析的目標可以劃分為三個層次。第一層目標是判斷可疑圖像是否隱藏秘密信息，這是一個二元決策問題。隱寫分析的第二層目標是提取載密圖像中的秘密信息，前兩層目標不會以任何方式改變圖像，稱為被動隱寫分析。第三層目標是對秘密信息進行干擾或破壞，也稱為主動隱寫分析或主動防御。主動防御試圖消除載密圖像中的秘密信息，而且不會導致圖像質量退化，達到成功阻斷隱蔽通信的目的，在安全領域具有重要的實際應用價值。

現有主動防御方法主要分為基于領域知識和基于深度學習的主動防御方法兩類。

基于領域知識的主動防御方法是指利用像素分布規律，使得像素值發生改變，從而消除秘密信息。Granguly等人[7]基于UHD（unnormalized hellinger distance）和IWT（integer wavelet transform）自適應修改圖像的像素值，達到消除秘密信息的目的。該方法能夠消除11種隱寫嵌入的秘密信息。以上基于修改的主動防御方法通過選擇性修改像素值減少圖像退化。然而，像素級的邏輯運算將會導致計算復雜度增加。另外，基于濾波的主動防御方法[8]雖然能夠有效地消除秘密信息，但是存在圖像質量退化和消除秘密信息之外的圖像特定信息等問題。

基于深度學習的主動防御方法通常利用網絡強大的表征學習能力執行一系列主動防御任務，通過對圖像中嵌入的秘密信息進行過濾，達到消除秘密信息的目的。Zhu等人[9]設計了一個基于深度學習網絡的通用魯棒隱寫破壞方法（簡稱AO-Net），包括攻擊模塊和優化模塊，同時提出一種新的損失函數用于平衡上述兩個模塊，達到更好去除秘密信息的目的。該方法能夠有效消除包括DMAS在內的四種魯棒隱寫算法嵌入的秘密信息。隨后，Zhu等人[10]又提出一種在線社交網絡中圖像秘密信息消除的通用框架，包含Scaling-Net和SC-Net兩種深度學習網絡。其中，Scaling-Net適用于社交網絡中超大尺寸圖像，SC-Net適用于普通尺寸圖像，該方法能夠有效去除魯棒隱寫嵌入的秘密信息以及經典水印，并且在消除秘密信息后能夠得到質量良好的圖像。

目前，信息隱藏主動防御的研究引起廣泛關注，其方法雖然能夠在一定程度上對秘密信息的提取進行干擾，但是仍存在一定的局限性：

a）基于深度學習的主動防御方法模型復雜度高，需要大量的算力與已知的成對載體-載密訓練數據，導致時間成本開銷大。

b）主動防御網絡的卷積層存在局部性和低冗余性的特點，使得中心像素值在感受野內映射時發生改變，現有方法缺失有效像素值，導致無法重構圖像，從而不可避免地造成圖像質量退化的問題，阻礙主動防御在實際場景的推廣和使用。

c）現有主動防御方法主要關注固定模式和正態分布扭曲等消除秘密信息的方式，以達到主動防御的目的，而嵌入秘密信息的模式及分布無跡可尋，導致消除未知隱寫嵌入時誤碼率低，從而降低圖像秘密信息的阻斷率。

針對現有主動防御網絡模型依賴載體-載密圖像對的問題，本文考慮引入自監督學習的方式，改變網絡的輸入方式，使得網絡的輸入僅僅需要載密圖像，從而減少網絡的訓練時間與存儲空間。針對現有主動防御方法存在圖像質量退化的問題，本文考慮到圖像質量退化的原因包括：網絡層前向傳播的過程中尚未完全學習到圖像的紋理與細節、網絡學習的感受野小等。因此，考慮使用具有更大感受野的網絡層結構。針對現有主動防御方法存在秘密信息誤碼率低的問題，由于僅僅使用單一網絡破壞秘密信息會導致秘密信息存在遺漏，故考慮雙重消除的方式破壞秘密信息。基于上述，本文提出一種基于自監督學習PBS-Net（pixel-shuffle sampling and blind spot-network）和通道提純的信息隱藏主動防御方法（BRAD）。在無須領域知識的前提下，BRAD能夠快速有效地消除秘密信息，同時避免圖像視覺質量的退化。BRAD的主要貢獻包括：

a）鑒于載密圖像無法直接作為自監督訓練的輸入值和目標值，本文基于像素混洗采樣改進盲點網絡架構的學習策略，通過分解載密圖像的空間相關性避免學習身份，從有監督學習改為自監督學習，緩解現有方法過度依賴載體-載密圖像對的狀況。

b）由于普通卷積能夠學習到潛在的秘密信息，導致秘密信息映射到網絡輸出層，影響主動防御效果。因此，本文在PBS-Net中融合中心掩碼卷積和空洞卷積殘差塊。其中，中心掩碼卷積使得圖像中秘密信息恢復到其原始載體形式，從而消除秘密信息。連續的空洞卷積殘差塊能夠獲得更大的感受野，捕獲多尺度的圖像信息，減少圖像質量退化。

c）考慮到PBS-Net生成的圖像局部細節存在視覺偽影。本文設計一個通道提純模塊，旨在消除秘密信息的同時，改善圖像紋理細節和邊界、平滑平坦區域和避免產生偽影。該模塊在低視覺退化的前提下，能夠對秘密信息進行二次消除，進一步提高BRAD在實際應用中的誤碼率。

1 相關工作

信息隱藏及其主動防御在相互對抗中，已經取得長足的發展。本章對信息隱藏及其主動防御的相關工作分別進行闡述。

信息隱藏技術利用人類感官的不敏感性，以及載體信號本身的冗余信息，將指定的秘密信息嵌入到載體中，使得載體承載秘密信息的行為不被察覺。通常將用于隱蔽通信的信息隱藏技術稱為隱寫。隱寫中隱藏技術有很多種，包括普通信息隱藏和魯棒信息隱藏。普通信息隱藏主要是在嵌入秘密信息的同時最小化一個便于定義的失真函數。文獻[11]提出一種基于通用失真設計的隱寫算法J-UNIWARD，該算法考慮載體圖像的方向，使得嵌入的區域集中在難以建模的位置，從而提高抗檢測能力。魯棒信息隱藏算法也取得了優秀的研究成果。文獻[12]提出一種基于抖動調制的抗JPEG壓縮檢測的自適應隱寫算法DMAS。該算法利用基于量化表的自適應抖動調制算法、基于側信息的嵌入代價計算算法以及RS碼，在保證嵌入消息對JPEG壓縮的魯棒性的同時，保持良好的抗檢測性能。在魯棒隱寫算法DMAS基礎上，文獻[13]提出一種基于廣義抖動調制的魯棒自適應隱寫算法GMAS。該算法通過雙層STCs的三元嵌入合理擴展嵌入域，顯著提高魯棒性與安全性。

隨著深度學習的快速發展，信息隱藏主動防御領域涌現出許多優秀研究成果。Zhong等人[14]基于對抗性擾動去除的思想實現DnCNN和HGD兩種深度學習隱寫消除模型，采用濾波剪枝對模型進行壓縮，減少深度學習隱寫消除模型的參數和維數，同時保證模型的性能。文獻[15]通過分析深度隱藏方案本身存在低冗余和局部性的兩個漏洞，提出針對深度隱藏的簡單無盒去除攻擊方法，無須任何深度隱藏方案的先驗知識。該方法能夠有效消除UDH在內的五種深度隱藏方法嵌入的秘密信息。

2 所提方法

由于隱寫可被認為是在圖像中加入一些高頻弱噪聲信號，所以使用計算機視覺領域中的去噪網絡能夠破壞其中的秘密信息，減少人工干預。而且，盲點網絡適用于去除真實噪聲，與破壞秘密信息不謀而合。為此，本文提出一種基于自監督學習PBS-Net和通道提純（channel refinement module，CRM）的信息隱藏主動防御方法（BRAD），致力于消除社交網絡中潛在載密圖像中的秘密信息，并避免圖像視覺質量的下降，達到主動防御的目的。

2.1 方法原理

針對引言中所提到的現有主動防御方法存在的局限性，本文從三個方面進行改進。首先，將所提網絡模型的學習策略從監督學習改進為自監督學習，緩解現有主動防御方法過度依賴原始載體圖像的現象，提高BRAD在實際社交網絡中的實用性；其次，在網絡架構中融合中心掩碼卷積和空洞卷積殘差塊，捕獲多尺度的圖像信息，提高圖像質量；最后，在網絡前端增加像素混洗采樣，網絡后端增加CRM，進一步消除載密圖像中的秘密信息，實現信息隱藏主動防御和二次主動防御。BRAD的整體框架如圖1所示。

圖1中，BRAD包括兩部分，第一部分為自監督學習PBS-Net的主動防御，PBS-Net模型由PD（pixel-shuffle downsampling）、BS-Net（blind-spot network）和PU（pixel-shuffle upsampling）三個階段組成，以兼顧秘密信息高阻斷率和圖像質量低失真度。第一階段為PD，該策略能夠降低載密圖像像素的相關性，并消除原本存在秘密信息的像素點。該策略也輔助網絡進一步消除秘密信息。第二階段為BS-Net，通過帶有掩碼卷積和空洞卷積的輕量級盲點網絡能夠在保持圖像質量的同時，消除載密圖像中的秘密信息。第三階段為PU，它是PD的逆操作，能夠對圖像進行上采樣，還原原始載密圖像的尺寸，增加圖像的局部細節。第二部分為CRM的二次主動防御，對PBS-Net生成的圖像進行提純，在低視覺退化的前提下，能夠對秘密信息進行二次過濾，提高BRAD在實際應用中的阻斷率。由于CRM無訓練參數，不參與網絡訓練過程。最后，BRAD生成的凈化圖像xpur只能提取到錯誤的秘密信息。上述過程的具體實現流程如圖2所示。BRAD是針對信息隱藏的主動防御方法，本文將信息隱藏中嵌入模型與提取模型定義為En和De。嵌入和提取過程可以分別表示為式（1）（5）。在加性模型下，嵌入秘密信息后載體圖像分布如式（2）～（4）所示。

xstego=En（xcover，m）（1）

En（xcover，m）=xcover+∑opei∈Oopei（2）

［En（xcover，m）］=（xcover）+∑opei∈Oδopei（3）

δopei=（xcover+opei）－（xcover）（4）

m′=De（xstego）（5）

其中：xcover和xstego分別表示載體圖像和對應的載密圖像；m和m′分別表示嵌入的秘密信息和提取的秘密信息；opei∈O（i=1，…，n）表示秘密信息嵌入過程中各個環節（秘密信息嵌入與特征保持）的基本操作；（·）表示計算統計分布的操作；δopei表示一次嵌入基本操作后對載體圖像分布的影響。

BRAD旨在不影響圖像質量的前提下，消除秘密信息。BRAD有兩個目標：a）保持凈化圖像的視覺質量；b）確保主動防御后無法觀察到有效的秘密信息（即嵌入前的秘密信息與主動防御后提取凈化圖像的秘密信息之間的差別要足夠大）。基于這兩個目標，本文定義BRAD生成的凈化圖像xpur，見式（6）～（8）。

xpur=fBRAD（xstego）（6）

fBRAD（xstego）=fCRM［fPBS-Net（xstego，θ）］（7）

max xpurfmes（De（xstego），De（xpur））s.t. fpic（xstego，xpur）≤ε（8）

其中：fBRAD、fPBS-Net和fCRM分別表示BRAD、BRAD第一部分和BRAD第二部分；fmes表示衡量秘密信息之間的差別；fpic表示衡量兩個圖像之間的視覺距離；ε代表可接受的閾值，θ表示網絡模型可學習的參數向量。

2.2 自監督學習PBS-Net的主動防御

2.2.1 自監督學習PBS-Net原理分析

由于隱寫是以隱藏通信事實為出發點，載密圖像與載體圖像具有高度相關性。如果使用不同信息隱藏算法生成的載密圖像與對應的載體圖像訓練主動防御模型，模型會在真實載密圖像上表現不理想。并且，在實際社交網絡應用中，無法捕獲到載密圖像對應的載體圖像，因此現有方法在實際社交網絡中的有效性低。另一方面，由式（3）可知，秘密信息嵌入模型En內的每一步操作之間沒有相互影響，對載體圖像分布的影響是獨立可加的，使得對于載體圖像中的像素而言，秘密信息是給定的獨立信號，這能夠為訓練盲點提供基本假設（秘密信息與載體圖像無關的假設）。因此，本文提出一種自監督方式訓練PBS-Net。PBS-Net是傳統CNN的一種變體，在感受野中屏蔽掉中心像素來預測相應的輸出像素。本文擯棄將有秘密信息的載密圖像輸入映射到干凈載體圖像的訓練方式，能夠在沒有載體圖像的情況下訓練，緩解現有主動防御方法過度依賴載體圖像的問題，提高BRAD在實際社交網絡中的有效性。自監督方式訓練PBS-Net允許直接對載密圖像進行訓練，從載密圖像中導出訓練樣本的輸入值和目標值兩個部分。為了清晰展示使用自監督方式訓練本網絡，本文對比主動防御模型的普通網絡和本文模型，并給出形象化舉例，如圖3所示。

如圖3（a）所示，以提取一個patch作為輸入為例，本文使用其中心像素作為目標，使得單個像素的預測依賴于輸入像素的一個正方形鄰域，稱為像素的感受野（綠色錐體下的像素，參見電子版）。普通網絡模型直接將輸入patch中心的值映射為輸出值。圖3（b）中，由于PBS-Net要求在感受野中屏蔽掉中心像素，所以本文網絡在具有相同輸入和目標前提下，將輸入patch中心的值設為盲點（整個感受域中只有一個像素被移除），使得單個像素的預測依賴于輸入像素除盲點外的其他感受野，從而避免學習身份（learn identity）映射自身像素值，進而實現學習去除像素獨立的秘密信息。PBS-Net允許從訓練圖像中提取輸入補丁和目標值。本文通過最小化經驗風險訓練網絡，見式（9）。

arg minθ‖fPBS-Net（xstego，θ）－xstego‖1（9）

2.2.2 像素混洗采樣策略

鑒于隱寫在嵌入秘密信息時考慮到圖像的屬性，有選擇地將秘密信息嵌入到載體紋理復雜或者邊緣豐富的區域，使得載密圖像與秘密信息具有相關性，從而導致無法直接將載密圖像作為BS-Net的輸入值。因此，本文采用一種快速而高效的像素混洗采樣策略，該策略通過抽取圖像特征進行簡單排列，無實際的運算操作，能夠減少網絡參數與內存容量，并降低計算復雜度。它包括自適應像素混洗下采樣PD和自適應像素混洗上采樣PU，兩者互為逆操作。其中，PD依照采樣因子f將圖像像素值進行重排列，分解圖像的空間相關性，用于隔離圖像與秘密信息之間的關聯，使得原本存在秘密信息的像素點錯位，從而去除信息豐富的高頻成分，進而消除明顯的秘密信息。同時也輔助網絡主動防御載密圖像。PU是將低分辨的輸入圖像通過多通道間的重組得到高分辨率的特征圖，特征圖大小和輸入低分辨率圖像一致。本文使用PDf和PUf表示采樣因子為f的下采樣和上采樣。f的大小能夠影響圖像空間相關性，當f足夠小時能夠保留圖像中的紋理結構，但是達不到消除秘密信息的目的。當f足夠大時導致圖像出現頻譜混疊（高頻分量與采樣頻率產生混疊），輸出一個實際并不存在的低頻信號，使得圖像存在明顯退化現象。為了達到平衡消除秘密信息和還原圖像質量的目的，本文將f設置為2。像素混洗采樣可視化如圖4所示。由圖4可知，PD2將256SymboltB@256的載密圖像xstego分解為2×2個子圖像，子圖像大小為128SymboltB@128，4個子圖像通過平鋪的方式重新組合，得到xPD2。由于隱寫的隱蔽特性，使得載體圖像與載密圖像高度一致，秘密信息與圖像息息相關，僅僅通過BS-Net消除秘密信息較為困難。因此，像素混洗下采樣作用于BS-Net的前端。xstego中的像素按照間隔為1的形式進行重排列，重排列過程為紅色像素置于xPD2的左上角，紫色像素置于xPD2的右上角，綠色像素置于xPD2的左下角，黃色像素置于xPD2的右下角（參見電子版）。這種重組方式能夠使得原本相鄰的秘密信息像素錯位，降低圖像像素的空間相關性，進而輔助網絡消除秘密信息。為了更科學地描述像素混洗采樣策略的過程，給出PD的實現方法（PU是PD的逆過程，為了避免重復，這里僅給出PD的實現方法），見算法1。

算法1 PD的實現方法

輸入： 載密圖像xstego={xstego1，xstego2，…，xstegon－1，xstegon}和采樣因子factor。

輸出： 經過PD策略處理后的圖像組xPD={xPD1，xPD2，…，xPDn－1，xPDn}。

for m = 1 to n do

if f == 1 then

return xstegom

initialize xPDm= []

else

for i = 1 to f do

initialize band =[]

for j = 1 to f do

temp = xstegom[i：： f， j：： f， ：]

band= concatenate （[band， temp]， axis=1） """""""http://對應行進行拼接

end for

xPDm= concatenate （[xPDm， band]， axis=0） """""http://對應列進行拼接

end for

return xPDm

end if

end for

2.2.3 BS-Net

盲點網絡BS-Net（blind spot-net）是指網絡在輸出某個點的結果時，屏蔽掉該點的信息而只能看到其周圍點的信息。網絡無法通過周圍像素點的信息推導出盲點處的秘密信息，而只會預測與周圍結構相關的圖像信號。在標準CNN中增加上述策略勢必會阻礙網絡高效訓練。因此，本文提出一種集成掩碼卷積和空洞卷積殘差塊的方案緩解上述問題，并實現與任何標準CNN相同的屬性。同時，本文采用兩個分支的盲點網絡，通過緊密連接的結構，能夠共同還原更詳細的圖像視覺信息。本文利用自適應像素混洗采樣策略生成的xPD2作為自監督訓練BS-Net模型的輸入，將它們逐個饋送到網絡中學習圖像映射，通過輸入像素的特殊感受野（圍繞該像素的正方形塊patch）影響網絡輸出中的每個像素預測xpur，BS-Net的整體架構如圖5所示。在BS-Net中，首先經過一層卷積和ReLU激活層，得到與輸入圖像大小一致的特征圖；其次，分別經過type1和type2分支，將兩個分支得到的特征圖按列進行拼接，不增加新維度。兩個分支通過緊密連接的結構和雙顯著性機制，能夠共同消除圖像中潛在的秘密信息，同時學習更詳細的視覺信息，生成高效的特征表示；然后，拼接后的特征圖經過三組卷積層和ReLU激活層，逐次縮減特征通道；最后，經過一層卷積，目的是輸出三個通道的RGB圖像。

type1分支是由中心掩碼卷積層1和ReLU激活層開始。其次，經過兩組卷積層和ReLU激活層。然后，經過9組空洞卷積1殘差塊。最后，由一層卷積和ReLU激活層結束。type2分支是由中心掩碼卷積層2和ReLU激活層開始。其次，經過兩組卷積層和ReLU激活層。然后，經過9組空洞卷積2殘差塊。最后，由一層卷積和ReLU激活層結束。BS-Net配置細節見表1。

由表1可知，n代表卷積核的數量，h代表卷積核的高度，w代表卷積核的寬度，p表示填充邊緣像素數，s表示卷積核的步長，d表示擴展率大小。

a）中心掩碼卷積。普通卷積層可以通過應用一系列卷積核從圖像中提取特征。在特定像素點處，卷積層的輸出是卷積核權重與以該像素為中心的區域上值的加權和。對于某一位置的輸出，普通卷積無法排除同一位置輸入值的影響。因此，本文引入中心掩碼卷積，將中心像素相應的權重歸0，使得在原始張量的patch上屏蔽中心元素，并限制與相鄰像素的連接，從而達到消除中心像素中秘密信息的目的。中心掩碼卷積定義如下：

fk（i）=fk（i－1）（wk（i－1）·mask）（10）

其中：fk（i）表示第i層k通道的特征映射；fk（i－1）表示第i－1層k通道的特征映射；wk（i－1）表示k個卷積核；和·。分別表示卷積操作和元素積；mask表示與卷積核大小一致的二進制掩碼。掩碼形式如圖6所示。

由圖6可知，mask是將0賦給中心元素，將1賦給其他元素。在BS-Net中心掩碼卷積層1使用3×3mask，中心掩碼卷積層2使用5×5mask。

b）空洞卷積殘差塊。一般使用池化層和卷積層來增加感受野，但池化操作能夠導致特征圖尺寸縮小，再利用上采樣還原圖像尺寸，這一系列特征圖縮小再放大的過程造成圖像精度上的損失。因此，本文采用連續的空洞卷積能夠用更少的卷積層積極地合并整個輸入的空間信息，使得接觸到的圖像范圍增加，包含的特征并不會趨向局部和細節。網絡不會學習到潛在的秘密信息，從而避免將秘密信息映射到網絡輸出層。同時，空洞卷積殘差塊能夠捕獲多尺度的圖像信息并減少圖像質量退化問題。空洞卷積殘差塊是由一組網絡層組成，包含主路徑和跳躍連接兩個部分：主路徑由空洞卷積層、普通卷積層和激活函數構成，用于學習特征表示;跳躍連接直接將輸入信息繞過主路徑，與輸出相加。這樣能夠確保輸入信息更容易傳播到后續層，有助于避免梯度消失問題。

2.3 通道提純的二次主動防御

自監督學習PBS-Net的主動防御能夠消除嵌入的秘密信息，但是生成的圖像局部細節存在視覺偽影。為了緩解上述問題，本文采用通道提純機理，旨在消除秘密信息的同時，改善圖像紋理細節和邊界、平滑平坦區域和避免產生偽影。通道提純不參與網絡的訓練，極大提高BRAD的訓練時間。訓練通道提純過程如圖7所示。

由圖7可知，xstego通過PBS-Net生成xPBS-Net，本文將xPBS-Net作為通道提純的輸入，xpur作為通道提純的輸出。通道提純主要包括三部分：a）利用帶有秘密信息的像素塊填充xPBS-Net的每個子圖像對，得到分離秘密信息通道的xsep；b）通過PBS-Net得到消除秘密信息的xBS-Net；c）對xBS-Net進行平均以獲得圖像紋理細節圖像xrefine，將xrefine與xPBS-Net進行平均生成凈化圖像xpur。

3 實驗結果與分析

3.1 實現細節

3.1.1 實驗設置

實驗中使用的圖像數據集為ALASKA V2[16]和BossBase 1.01[17]，其中，ALASKA V2數據集的大小為32.27 GB，由載體圖像和J-MiPOD、J- UNIWARD和UERD三種隱寫算法生成的載密圖像組成。BossBase 1.01數據集包含1萬張彩色圖像，圖像大小為512 ×512像素，深度為8" bit。

圖7 通道提純的過程

Fig.7 Process of channel purification

本文在以上數據集中任意選擇10 k張圖像。其中，網絡訓練（8 k）、驗證（1 k）和測試（1 k）。為了減少計算時間復雜度和實現高效訓練，將所有圖像進行預處理。首先，將512SymboltB@512的載密圖像裁剪成256SymboltB@256小尺寸塊，小尺寸塊之間的重疊是128，每張圖像生成9張小尺寸塊。然后，將小尺寸塊Tensor形式轉換NumPy形式。最后，將特征圖像的維度（c， h， w）轉換為（h， w， c）。為了訓練一個高效的信息隱藏主動防御網絡，本文使用PyTorch深度學習框架，并在IntelCore TM i9-10900 CPU @ 2.80 GHz和NVIDIA GeForce GTX 1660 Ti GPU上訓練PBS-Net。具體網絡的參數設置如表2所示。

本文事先在兩個數據集的測試集中隨機抽取100張圖像，使用兩種最具代表性的魯棒隱寫算法DMAS和GMAS進行隱寫（payloads=0.01～0.05，步長0.01），將得到的載密圖像用于本節所有實驗。

3.1.2 評價準則

本文使用以下眾所周知的指標來評估秘密信息的消除程度和對圖像質量的影響。誤碼率BER（bit error ratio）用于度量消除秘密信息的能力。誤碼率是載密圖像主動防御前后錯誤比特數占總比特數的比率。圖像BER結果越大，表示主動防御后消除的秘密信息越多。一般認為，當BER大于0.2時，隱藏的秘密消息被消除。本文使用峰值信噪比PSNR（peak signal-to-noise ratio）[18]和結構相似度SSIM（structural similarity index）[19]評價主動防御后圖像的質量。PSNR是評估主動防御后圖像的失真情況的客觀指標；SSIM是比較主動防御后的圖像與原始載體圖像質量相似性的客觀指標。圖像PSNR和SSIM的結果越大，表示主動防御后的圖像質量越好。值得注意的是，實驗中的每個客觀度量的值是測試集上的平均結果。

3.2 客觀評價

3.2.1 秘密信息消除結果

針對DMAS和GMAS進行實驗，本節驗證BRAD對圖像信息隱藏主動防御的有效性。在不同負載率和圖像質量因子下，BRAD生成凈化圖像的BER取均值作為最終的實驗結果（保留小數點后4位），如表3、4所示。

由表3可見，在不同圖像質量因子和負載率下，BRAD主動防御DMAS后，凈化圖像的BER均值為0.487，該均值是基準值（秘密信息序列不能被恢復時BER=0.2）的243.5%，表明BRAD能夠有效消除秘密信息，實現主動防御。由表4可見，在圖像質量因子和負載率下，BRAD主動防御GMAS后，在質量因子95、負載率為0.01 bpnac時，凈化圖像的BER值最小為0.488 5，是基準值的244.25%，該值遠遠超過秘密信息的不可恢復值。以上數據表明，在不同魯棒隱寫方法下，BRAD都能夠達到消除秘密信息的目的，成功實現主動防御的目的。

綜上，在不同質量因子、負載率與隱寫算法下，BER的值均在0.47～0.52波動。驗證BRAD能夠有效地消除社交網絡中潛在載密圖像中的秘密信息，并無須考慮隱寫者使用的具體隱寫算法、質量因子以及負載率等因素，實現社交網絡中隱蔽通信主動防御的目的。

3.2.2 圖像質量結果

本節針對魯棒隱寫進行一系列實驗，驗證BRAD在保持圖像質量方面的有效性。實驗采用PSNR和SSIM對凈化圖像進行評價。與3.1.1節使用相同數據集，BRAD主動防御魯棒隱寫DMAS和GMAS后，將BRAD生成凈化圖像的PSNR和SSIM的平均值作為實驗結果，如表5、6所示。

由表5可知，在不同質量因子與不同負載率下，BRAD主動防御DMAS后，凈化圖像的PSNR值為43～46，SSIM值為0.98～1，表明在不同質量因子下，BRAD能夠維持圖像的質量。由表6可知，在不同負載率下，BRAD主動防御GMAS后，在質量因子為65時，凈化圖像的平均PSNR和SSIM值達到43.41 9和0.987 1；在質量因子為75時，凈化圖像的平均PSNR和SSIM值為43.353和0.991 8。在質量因子為85時，凈化圖像的平均PSNR和SSIM值為44.618 9和0.990 3。在質量因子為95時，凈化圖像的平均PSNR和SSIM值為45.268 2和0.990 2。

因此，在不同隱寫算法下，凈化圖像的PSNR和SSIM結果都符合社交網絡傳輸圖像的質量要求，以上數據均表明BRAD能夠有效保持圖像質量。

3.3 對比實驗

本節選擇AO-Net[9]和SC-Net[10]進行對比，所使用的測試圖像都是從測試集中隨機選擇的，并將圖像壓縮成質量因子為95的頻域圖像，調整大小為512×512。在0.01～0.05負載率下分別生成30張載密圖像。實驗以魯棒隱寫算法DMAS和GMAS為例，分別對比BRAD與上述方法。值得注意的是，BRAD僅在載密圖像上進行自監督訓練，而AO-Net和SC-Net網絡訓練需要載密圖像和對應的載體圖像。凈化圖像的BER、RSNR和SSIM結果如圖8～10所示。每個量化指標下都有一個數字，表示主動防御魯棒隱寫后的結果。

在秘密信息消除方面，由圖8（a）可知，BRAD主動防御DMAS后，在負載率為0.02、0.03、0.04和0.05時，凈化圖像的BER值均高于AO-Net，分別提升0.03%、0.19%、0.38%和0.35%。在負載率為0.02、0.03和0.05時，BRAD得到凈化圖像的BER值均高于SC-Net，分別提升0.37%、0.25%和0.1%。由此可知，在主動防御DMAS方面，BRAD存在明顯優勢。由圖8（b）可知，負載率為0.01的情況下，BRAD主動防御GMAS后，凈化圖像的BER值介于SC-Net和AO-Net之間。在負載率為0.02～0.05時，凈化圖像的BER值遠超過其他方法。由此可知，在主動防御GMAS方面，BRAD能高誤碼率消除秘密信息，且防御效果較好。

在圖像質量保持方面，由圖9（a）和圖10（a）可知，BRAD主動防御DMAS后，凈化圖像的PSNR值和SSIM值分別在45.3和0.99以上。與AO-Net和SC-Net相比，BRAD生成凈化圖像的PSNR值分別提升9.14%和43.34%，凈化圖像的SSIM值分別提升0.95%和8.06%。由此可知，與其他方法主動防御DMAS相比，BRAD能夠提升圖像視覺質量。由圖9（b）和圖10（b）可知，BRAD主動防御GMAS后，凈化圖像的PSNR值和SSIM值分別在45.1和0.984以上。與AO-Net和SC-Net相比，BRAD生成凈化圖像的PSNR的結果分別提升8.53%和42.74%，凈化圖像的SSIM的結果分別提升0.72%和7.81%。由此可知，與其他方法主動防御GMAS相比，BRAD在圖像質量保持方面具有明顯優勢。

綜上，在秘密信息消除和圖像質量保持方面，BRAD均優于其他兩種方法。對于所有示例，由于缺乏真實載體數據，其他方法的訓練方案無法應用，這說明BRAD具有可靠的實用價值。雖然不能期望BRAD優于在訓練期間提供額外信息的方法，但觀察到BRAD結果的消除秘密性能僅略有下降，并且圖像質量效果仍然優于其他方法。

4 結束語

現有的隱蔽通信防御大多數基于檢測等被動防御方法。針對檢測在低負載率下虛警率和漏檢率過高，并且面對社交網絡中未知隱寫、負載率等先驗知識情況下無法實時有效阻斷隱蔽通信的問題，以及現有的主動防御方法過度依賴載體-載密圖像對、載密圖像阻斷率低等問題，本文提出BRAD主動防御方法。在第三方毫無察覺的情況下，消除秘密信息，主動防御社交網絡中的隱蔽通信。關鍵技術路線包括自監督學習PBS-Net的主動防御和通道提純二次主動防御。自監督學習PBS-Net首先通過像素混洗采樣策略改進網絡的學習方式，對網絡的前端和后端加以限制，輔助網絡進行主動防御；其次，基于掩碼卷積和空洞卷積殘差塊的PBS-Net兼顧消除秘密信息與避免圖像質量退化，達到主動防御的目的。通道提純模塊能夠細化圖像的局部紋理細節，在消除秘密信息的同時進一步保障圖像的質量。經過本文實驗驗證，基于自監督學習PBS-Net和通道提純的主動防御方式是完全可行的，能夠實現保持載密圖像視覺質量的同時干擾秘密信息的正常提取。在未來的工作中，致力于設計一種便于封裝的主動防御模型，將模型部署在社交網絡平臺或者硬件平臺。同時，在秘密信息破壞精準度與時效性兩大方面進一步提升主動防御能力，使主動防御具有更強的適用性，并為完善主動防御評價體系提供理論支撐。

參考文獻：

[1]孫文權， 劉佳， 鈕可， 等. 基于可逆網絡的輕量化圖像隱寫方案[J]. 計算機應用研究， 2024， 41（1）： 266-271. （Sun Wenquan， Liu Jia， Niu Ke， et al. Lightweight image steganography scheme based on invertible neural network[J]. Application Research of Computers， 2024， 41（1）： 266-271.）

[2]孔水玲， 趙琰， 趙嘉琪. 面向噪聲圖像的自適應高容量隱寫算法[J]. 計算機應用研究， 2022， 39（2）： 557-562， 576. （Kong Shuiling， Zhao Yan， Zhao Jiaqi. Adaptive high capacity steganography algorithm for noisy images[J]. Application Research of Computers， 2022， 39（2）： 557-562， 576.）

[3]邱楓， 鈕可， 李軍， 等. 基于運動矢量多直方圖修正的視頻可逆隱寫算法[J]. 計算機應用研究， 2022， 39（11）： 3470-3474. （Qiu Feng， Niu Ke， Li Jun， et al. Video steganography algorithm based on motion vector and multi histogram modification[J]. Application Research of Computers， 2022， 39（11）： 3470-3474.）

[4]趙昊天， 鈕可， 邱楓， 等. 基于分組卷積和快照集成的圖像隱寫分析方法[J]. 計算機應用研究， 2023， 40（4）： 1203-1207. （Zhao Haotian， Niu Ke， Qiu Feng， et al. Image steganalysis based on block convolution and snapshot ensembling[J]. Application Research of Computers， 2023， 40（4）： 1203-1207.）

[5]李德維， 任魏翔， 王麗娜， 等. 基于噪聲感知殘差網絡的JPEG隱寫分析方法[J]. 計算機應用研究， 2021，38（10）： 3148-3152， 3165. （Li Dewei， Ren Weixiang， Wang Lina， et al. JPEG stegana-lysis based on image noise-aware residual network[J]. Application Research of Computers， 2021， 38（10）： 3148-3152， 3165.）

[6]王群， 張敏情， 柯彥， 等. 基于新殘差網絡的圖像隱寫分析方法[J]. 計算機應用研究， 2021， 38（8）： 2454-2457， 2464. （Wang Qun， Zhang Minqing， Ke Yan， et al. Image steganalysis method based on new residual network[J]. Application Research of Computers， 2021， 38（8）： 2454-2457， 2464.）

[7]Ganguly S， Mukherjee I， Pati A.Stegano-Purge： an integer wavelet transformation based adaptive universal image sterilizer for steganography removal[J]. Journal of Information Security and Applications， 2023， 78： 103586.

[8]Geetha S，Subburam S， Selvakumar S， et al. Steganogram removal using multidirectional diffusion in Fourier domain while preserving perceptual image quality[J]. Pattern Recognition Letters， 2021， 147： 197-205.

[9]Zhu Zhiying， Li Sheng， Qian Zhenxing， et al. Destroying robust steganography in online social networks[J]. Information Sciences， 2021， 581： 605-619.

[10]Zhu Zhiying， Wei Ping， Qian Zhenxing， et al. Image sanitization in online social networks： a general framework for breaking robust information hiding[J]. IEEE Trans on Circuits and Systems for Video Technology， 2023， 33（6）： 3017-3029.

[11]Holub V， Fridrich J， Denemark T. Universal distortion function for steganography in an arbitrary domain[J]. EURASIP Journal on Information Security， 2014， 2014： article No.1.

[12]Zhang Yi， Zhu Xiaodong， Qin Chuan， et al. Dither modulation based adaptive steganography resisting jpeg compression and statistic detection[J]. Multimedia Tools and Applications， 2018， 77（14）： 17913-7935.

[13]Yu Xinzhi， Chen Kejiang， Wang Yaofei， et al. Robust adaptive stega-nography based on generalized dither modulation and expanded embedding domain[J]. Signal Processing， 2020， 168： 107343.

[14]Zhong Shangping， Weng Wude， Chen Kaizhi， et al. Deep-learning steganalysis for removing document images on the basis of geometric median pruning[J]. Symmetry， 2020， 12（9）： 1426.

[15]Liu Hangcheng， Xiang Tao， Guo Shangwei， et al. Erase and repair： an efficient box-free removal attack on high-capacity deep hiding[J]. IEEE Trans on Information Forensics and Security， 2023， 18： 5229-5242.

[16]Cogranne R， Giboulot Q， Bas P. ALASKAV2： challenging academic research on steganalysis with realistic images[C]// Proc of IEEE International Workshop on Information Forensics and Security. Piscataway，NJ： IEEE Press， 2020： 1-5.

[17]Bas P， Filler T， Pevnyy'T. \"Break our steganographic system\"： the ins and outs of organizing BOSS[C]// Proc of the 13th Information Conference on Information Hiding. Berlin： Springer， 2011： 59-70.

[18]Huynh-Thu Q， Ghanbari M. Scope of validity of PSNR in image/video quality assessment[J]. Electronics Letters， 2008， 44（13）： 800-801.

[19]Wang Zhou， Bovik A C， Sheikh H R， et al. Image quality assessment： from error visibility to structural similarity[J]. IEEE Trans on Image Processing， 2004， 13（4）： 600-612.