分类：电子论文 时间：2022-04-20 热度：783
摘 要 图像隐写是信息安全领域的研究热点之一.早期隐写方法通过修改载体图像获得含密图像，导致图像统计特性发生变化，因此难以抵抗基于高维统计特征分析的检测.随着深度学习的发展，研究者们提出了许多基于深度学习的图像隐写方法，使像素修改更隐蔽、隐写过程更智能.为了更好地研究图像隐写技术，对基于深度学习的图像隐写方法进行综述.首先根据图像隐写过程，从3个方面分析了基于深度学习的图像隐写方法：1)从生成对抗网络和对抗样本2个角度介绍载体图像获取方法;2)分析基于深度学习的隐写失真设计方法;3)阐述基于编码-解码网络的含密图像生成方法.然后，分析和总结了无载体图像隐写方法的优缺点，该类方法无需载体图像即可实现图像隐写，因此在对抗统计分析方面存在天然优势.最后，在深入分析与总结基于深度学习的图像隐写与无载体图像隐写2类方法优缺点的基础上，对图像隐写的发展方向进行了探讨与展望.
关键词 图像隐写;深度学习;生成对抗网络;对抗样本;无载体图像隐写
隐写是一种将秘密信息隐藏于载体进行隐蔽通信的技术，在信息安全、数据通信等多方面都发挥着重要作用，对保障数据安全、维护社会稳定都具有重要意义.常用的隐藏载体包括文本、图像、音频、视频等，其中应用最广泛的是基于图像的隐写技术，嵌入秘密信息之前的原始图像称为载体图像，嵌入秘密信息之后的图像称为含密图像.
在图像隐写的第1阶段，研究者们通过特定的嵌入方式修改像素值[1-3]，如最低有效位替换或修改，将秘密信息隐藏于载体图像中，达到隐蔽通信的目的.这种类型的像素修改一般发生在像素比特位的低位，低位的比特值反映图像的细节信息，因此替换为秘密信息并不会影响图像的整体效果.但是该类方法会对图像的统计特性造成明显的改变，随着专用型隐写分析方法与通用型隐写分析方法的出现，该类图像隐写技术难以满足隐蔽通信的安全性要求.
在图像隐写的第2阶段，研究者们考虑载体图像的自身属性，使用内容自适应的隐写方法.由于图像本身具有高度的复杂性、存在较多的冗余信息，对图像做微小的改动并不会引起人类视觉异常，如纹理复杂区域的统计特性难以被检测出异常情况，因此，在这些区域进行隐写就可以提高图像隐写的隐蔽性.内容自适应隐写又称为最小失真隐写，为每个像素分配嵌入成本，嵌入成本反映像素修改后被检测出的风险，该图像的隐写失真为所有更改像素的嵌入成本之和.内容自适应隐写的最终目标是找到合适的嵌入位置使隐写失真最小，研究的主要内容是隐写失真代价函数的设计，该函数用于衡量每个像素的嵌入成本.最常用的定义失真代价函数的准则是启发式原则，由于图像复杂区域的异常模式难以被检测，因此复杂区域的嵌入成本较小，HUGO(highlyundetectablestego)[4]为此原则下第一个失真函数，WOW (waveletobtained weights)[5]，UNIWARD(universalwaveletrelativedistortion)[6-8]，HILL(high-pass，low-pass，andlow-pass)[9]等 都 是 先 进的内容自适应图像隐写方法.随着内容自适应隐写的出现，隐写分析器的检测能力也进一步提升，出现了捕捉图像高维特征的富模型隐写分析器[10-12]，如空域富模型(spatialrich model，SRM)[10].通过特定的高通滤波器获得噪声残差的高阶统计量，以此作为隐写特征进行分析，富模型在传统隐写分析领域具有突出的性能，传统的图像隐写方法已经难以抵抗隐写分析的检测.
近年来，为了提升隐写的隐蔽性，研究者们致力于研究新的隐写技术.由于深度学习具有强大的特征学习能力，且在计算机视觉等领域产生了许多研究成果，研究者们将深度学习引入图像隐写中，用大量的数据训练神经网络，让网络学习更隐秘的隐写行为.最核心的转变是将传统的依赖手工、先验知识设计的隐写方法转化为依赖于数据驱动、网络自主学习的隐写方法，具体而言，深度学习的引入对载体图像本身、信息嵌入的原则、信息嵌入的方法等多方面都有较大的应用意义.为了增强隐写的隐蔽性，人们选择纹理丰富的图像作为隐写载体，随着深度学习的引入，载体图像的获取来源并不局限于图像库.生成对抗网络(generativeadversarialnetwork，GAN)[13]具有强大的图像生成能力，可以根据隐写的需要生成适合隐写的载体图像;结合生成对抗样本[14-15]的技术增强原始图像，使含密图像具有主动欺骗隐写分析器的能力，这些方法都使载体图像更适于隐写过程.为了设计合理的失真函数，制定更好的自适应嵌入原则，基于深度学习的失真函数设计方法，不根据先验知识设计失真函数，而是考虑统计上的不可检测性，在与隐写分析网络对抗学习的过程中，由生成网络自动学习图像中每个像素点的失真值.在自适应隐写方法中，隐写算法常常结合编码方法一起使用[16]，研究者们大多采用伴随式矩阵编码(syndrome-trelliscodes，STC)[17]的方式得到含密图像，STC编码方法可以在给定隐写容量和像素失真的前提下实现最小的嵌入失真，以像素值最少的修改实现秘密信息的嵌入.基于深度学习的含密图像生成方法，通过编码-解码网络就可以实现秘密信息的嵌入与提取，对于图像隐写的操作者而言，无需具备隐写的先验知识，同时可以实现大容量的图像隐写.
由此可见，深度学习为图像隐写方法带来了巨大的变革，但上述3种基于深度学习的载体图像获取、隐写失真设计、含密图像生成方法没有脱离隐写方法的本质，即载体修改，在隐蔽通信中只要图像被修改，就会使隐写分析有迹可循.除了通过修改载体图像实现图像隐写，还存在通过选择或者合成载体的无载体图像隐写方法.无载体图像隐写不需要原始的载体图像，更不需要对载体图像进行像素修改，通过与秘密信息构建映射关系来选择或者合成图像获得载体图像.由于没有动态的嵌入过程且所获得载体图像本身已经携带秘密信息，该类载体图像即含密图像.无载体图像隐写与上述3种基于深度学习的载体图像获取、隐写失真设计、含密图像生成方法相比最大的不同之处在于，隐写时不需要对载体图像做出修改，因此不会在图像上留下隐写痕迹，含密图像具有天然的抗隐写分析能力.随着研究的深入，出现了一些与深度学习相结合的无载体图像隐写方法，进一步提升了隐写的隐蔽性与容量.鉴于无载体图像隐写具有天然的抗隐写分析性能，尤其在结合深度学习之后又有了更大的发展空间，因此，该类隐写方式值得进一步研究.
本文从基于深度学习的图像隐写和无载体隐写2个方面对近期的图像隐写方法进行分析和总结，具体分类如图1所示.着重讨论基于深度学习的图像隐写技术，将基于深度学习的图像隐写分成3类：1)基于深度学习的载体图像获取;2)基于深度学习的隐写失真设计;3)基于深度学习的含密图像生成.最后阐述与分析无载体图像隐写方法的优缺点.
1 基于深度学习的载体图像获取
随着 LeNet[18]、AlexNet[19]、GAN[13]、VGG[20]、Inception[21-22]、残 差 网 络 (residual networks，ResNet)[23]等网络模型的提出，深度学习的研究与发展进入了爆发时期，在图像去噪、图像识别、图像分类等计算机视觉领域有成功的应用.其中，研究较为广泛的有生成对抗网络和对抗样本，二者在图像隐写领域的应用为隐写方法带来了巨大的变革.随着深度学习的引入，用于隐写的载体图像的获取来源并不局限于图像库，还可以借助深度学习技术获得 更适合隐写的载体图像.根据获取方式的不同，本节从基于生成对抗网络的载体图像生成、基于对抗样本的载体图像增强2个方面分析深度学习在载体图像获取中的应用.
1.1 基于 GAN的载体图像生成方法
基于生成对抗网络的载体图像生成方法，运用了 GAN 网络中对抗博弈的思想，网络训练的依据是2014年 Goodfellow 等人在文献[13]中提出的目标函数.将生成对抗网络引入图像隐写，目标是在对抗训练的过程中生成适于隐写的载体图像，嵌入秘密信息后使隐写分析器误判.
相关知识推荐：sci论文发表一篇多少钱
2017年 Volkhonskiy等人[24]提出 SGAN(ste-ganographicgenerativeadversarialnetworks)网络模型，这是第1个基于生成对抗网络的图像隐写方法.生成网络在与判别网络、隐写分析网络的对抗博弈中调整网络参数，使得生成的图像在嵌入信息后达到自然图像真实的效果，可以欺骗隐写分析，换句话说，生成的图像更适用于隐写，该方法从载体图像的角度提高了隐写的隐蔽性.具体的网络结构如图2所示，在基础 GAN 的结构上，加入隐写分析网络，以生成网络生成的图像为载体，载体输入给判别网络，提高载体图像的真实性.在得到载体图像之后，用传统的隐写方法嵌入秘密信息，将得到的含密图像输入给隐写分析网络进行判别，根据判别结果优化生成网络，提高含密载体抵抗隐写分析检测的能力.在网络训练稳定后，生成的载体图像真实自然且适于隐写，判别网络无法正确地区分生成的载体图像与真实图像，隐写分析网络无法区分载体图像与含密图像，隐写的隐蔽性得到了保障.Fig.2 ThearchitectureofSGANframework[24]图2 SGAN 网络结构[24]文献[25]指出不同噪声分布的载体图像对隐写安全性存在显著影响，因此使用适于隐写的载体图像极为重要.SGAN 最早实现了基于生成对抗网络的图像隐写，对深度学习在图像隐写中的应用有着重大的意义，利用神经网络学习自然图像的分布特征，从而生成适用于隐写的载体图像.但是由于模型的限制，SGAN 中的 GAN 网络结构难以使生成网络与判别网络的训练达到平衡状态，这造成生成图像的视觉质量不佳，影响了图像隐写的安全性能.
为了 提 升 图 像 的 视 觉 质 量，Shi等 人[26]提 出SSGAN(securesteganographybasedongenerativeadversarialnetworks)图 像 隐 写 方 法，保 留 SGAN的网络模型，修改了生成网络结构[27]，生成的载体图像更自然更真实，使隐写分析的准确率下降了18%.Fig.3 ThearchitectureofStego-WGANframework[28]图3 Stego-WGAN 网络结构[28]
2018年王耀杰等人[28]进一步改变了模型结构，提出Stego-WGAN(steganographybasedonwass-ersteingenerativeadversarialnetworks)图 像 隐 写方法，图3为该模型的结构框架图.对比图2可以看出，Stego-WGAN与SGAN 最重要的不同之处在于，SGAN 将载体图像与真实图像一起输入判别网络中，而 Stego-WGAN 将含密图像与真实图像一起输入判别网络中.这样做的目的在于，使生成的载体图像更适用于隐写嵌入的同时，使生成的载体图像在嵌入秘密信息后依然能呈现真实图像的视觉效果，进一步增加了隐写的安全性.为了直观地反映 SGAN，SSGAN，Stego-WGAN3种网络的隐写效果，表 1列举了这3种网络在0.4bpp(bitperpixel)嵌入率下隐写分析的准确率，数据集为 CelebA，bpp表示秘密信息在每个像素中的比特数.可以发现，随着网络结构的优化，隐写分析的准确率在不断下降，但整体而言，隐写的隐蔽性仍有很大的提升空间.表1中的数据来源于文献[26].
基于生成对抗网络生成载体图像的方法都运用了对抗博弈的思想，在基础 GAN 的基础上加入隐写分析模块，相当于对生成网络的优化加入了一个约束条件，使得生成的图像不仅自然真实而且可以提升抗隐写分析器检测的能力.尽管隐写分析的准确率随着网络的改进在不断下降，但含密载体对隐写分析的抵抗性仍然很差，网络训练不稳定，生成的载体图像的生成痕迹、含密图像的修改痕迹都会被隐写分析器检测.如果要提升该隐写方法的隐蔽性，可以使用特征学习能力更强的网络，获得图像的深层特征，提高图像的真实性.但该类方法对于深度学习在图像隐写领域中应用的意义是毋庸置疑的.
1.2 基于对抗样本的载体图像增强方法
为了增强对隐写分析器的抵抗能力，研究者们引入对抗样本增强载体图像.对抗样本指的是对原始图像做一些微小改动，在人眼看来图像没有变化的情况下，可以对神经网络的判断进行干扰.运用对抗样本的这个特征，将对抗样本引入图像隐写领域，在含密载体上添加微小的改动，使其伪装成自然图像，欺骗隐写分析器.
2018年 Zhang 等 人[29]结 合 了 对 抗 样 本 的 方法，提出了一种有效抵抗隐写分析的图像隐写方法，使含密图像具有主动欺骗隐写分析器的能力.提出的方法为：在隐藏信息之前，用生成对抗样本的方法对载体图像做增强;在载体图像的基础上添加噪声，模拟信息嵌入，得到含密图像;在隐写分析网络判别时，将含密图像的标签设置为载体图像，根据反向传播时的梯度即可设定对抗噪声值，将对抗噪声添加到原始载体上得到增强的载体图像.对该载体采用传统的自适应隐写算法实现秘密信息的嵌入，若隐写分析网络将含密图像误判为载体图像，则得到了增强的载体图像，否则循环上述操作，继续对载体图像增强.载体图像增强的过程如图4所示.该方法改变了传统的图像隐写模式，化被动为主动，载体图像增强成为对抗样本，使图像嵌入秘密信息之后得到的含密载体仍然可以伪装为载体图像，达到了欺骗隐写分析器的目的.相比于基于生成对抗网络的图像隐写方法，该方法具有更强的安全性，但是每个图像都要经过不同的训练周期得到具有对抗样本性质的载体图像，训练具有复杂性.
2020年 Li等人[30]同样也使用了对抗样本增强载体图像的方法，不同于 Zhang等人[29]提出的方法，该方法对载体图像划分了区域，在部分图像中隐藏所有的秘密信息，对剩余部分的图像用生成对抗样本的方法进行增强，使整个图像具有欺骗隐写分析的能力.然而，这种方法随着欺骗隐写分析器成功率的提高，图像质量有所下降，由于只有部分图像进行了图像增强，会与另一部分图像在视觉上形成对比，更增加了被隐写分析器识别的风险.根据表2可以观察发现，随着被攻击像素点数量的增加，欺骗隐写分析器的成功率(含密图像被误判为载体图像的比率)在 不 断 上 升，用 峰 值 信 噪 比 (peaksignal-to-noiseratio，PSNR)衡量图像质量，发现整体的图像质量在不断降低，这增加了含密图像被隐写分析器检测的风险.表2中用于实验的数据集为 BOSSbase，数据来源于文献[30].
1.3 载体图像获取方法的对比与总结
1.1节和1.2节所述2类方法基于深度学习从载体图像获取的角度，对传统的图像隐写做出了改进.分别借鉴对抗博弈的思想和对抗样本的思想，通过神经网络生成更适于隐写的图像或对已有的载体图像做出修改，达到提升隐写安全性的目的，但这2类方法仍然存在一些问题.表3是基于深度学习的载体图像获取隐写方法与传统图像隐写方法的对比总结，分别从安全容量、隐蔽性、鲁棒性、图像视觉质量、欺骗隐写分析器的方式、泛化性、计算效率、结构复杂度8个方面进行总结.在隐写安全容量方面，将所述方法的安全容量与传统图像隐写的安全容量0.4bpp进行比较，分为没有 提 升、略 有 提 升、大 大提升3种情况.在隐蔽性方面，本文提到的每一 类隐写方法中所有方法与传统内容自适应隐写方法S-UNIWARD (spatial universal waveletrelativedistortion)进行对比，以 S-UNIWARD 隐写分析检错率作为参考值，观察每一个类别中大部分隐写方法的隐写分析检错率，高于参考值，则认为该类隐写方法隐蔽性好;低于参考值，则认为该类隐写方法隐蔽性差;与 S-UNIWARD 接近，则认为该类隐写方法隐蔽性一般.在鲁棒性方面，由于在真实环境下传输的图像都是经过压缩的，图像质量受损会造成部分信息丢失，影响秘密信息的提取，因此认为大部分图像隐写方法的鲁棒性弱.一些基于深度学习的图像隐写技术在网络训练时模拟了真实环境下图像压缩的过程，提升了图像受损的情况下秘密信息提取的准确度，这类隐写方法的鲁棒性较强.在图像视觉质量方面，使用 PSNR 作为衡量含密图像质量的指标，一般认为：PSNR 值高于40dB 的图像质量好，非常接近原始图像;位于30～40dB 之间的图像质量一般，此时可以察觉图像失真，但失真效果可以接受;位于20～30dB之间的图像质量差.欺骗隐写分析器的方法分为被动和主动，大部分隐写方法致力于将秘密信息藏得更隐蔽，我们认为这种隐写方法是防守的、被动的;而基于对抗样本的隐写方法通过微小地改动图像使隐写分析器误判，这种隐写方法具有主动攻击性.在隐写方法的泛化性方面，某些基于深度学习的隐写方法在训练时只使用了某个隐写分析器作为判别器，在测试时会对这个隐写分析器具有较强的抵抗作用，此时，观察其他隐写分析器的检测效果，如果该类隐写方法仍有较强的抗隐写分析检测能力，则认为泛化性好，否则认为泛化性能差.在计算效率和结构复杂度方面，综合考虑基于深度学习的隐写方法在构建网络、训练网络等过程中耗费的时间，与传统图像隐写进行对比，由于基于深度学习的图像隐写方法需要耗费大量的训练时间，一般认为基于深度学习的图像隐写方法计算效率低、网络结构复杂.——论文作者：付章杰1，2李恩露1程 旭1黄永峰3胡雨婷3
文章名称：基于深度学习的图像隐写研究进展
