CN111951149A - 一种基于神经网络的图像信息隐写方法 - Google Patents

Abstract

本发明公开了一种基于神经网络的图像信息隐写方法，所述基于神经网络的图像信息隐写方法包括以下步骤：对生成对抗网络和提取器进行同步训练，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器；发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号并将噪声信号还原成秘密信息。实现了无修改的隐写方法，隐写后的载体图像并没有经过传统隐写算法的“修改”操作，理论上可以抵抗所有基于特征提取的隐写分析方法的攻击，同时对生成对抗网络和提取器进行同步训练，不仅能提高安全性而且能节省训练时间。

Description

一种基于神经网络的图像信息隐写方法

技术领域

本发明涉及神经网络领域，尤其涉及一种基于神经网络的图像信息隐写方法。

背景技术

随着信息化的不断发展，信息安全问题变得越来越重要，传统的保障信息安全的手段主要通过密码学来实现，但是利用密码加密的方法无法掩盖正在通信这一事实，在版权保护、隐蔽通信等特定场合并不适用，近年来发展起来的信息隐藏技术很好地补充了密码学的这一缺点。信息隐藏技术通过将秘密信息嵌入在普通载体中来达到信息安全的目的，这些载体包括常见的文本、音频、图片以及视频等，图片由于人们日常使用广泛而成为最常用的载体。在这个密码信息的通信过程中，有信息的保护者和攻击者两个主要的参与人，对应隐写者与隐写分析者，隐写者的目的是通过信息隐藏算法将秘密信息嵌入到载体中但不被敌人发现，通常要做到视觉、听觉不可感知和统计不可感知；而隐写分析者的目的是判断一个特定的载体是否含有秘密信息，通常意义上来说，隐写分析者一旦对一个含密载体产生合理怀疑，则这个信息隐藏过程就是失败的。

随着信息隐藏技术的发展，视觉、听觉等较低层次的不可感知性对于大部分隐写算法来说都是可以较容易做到的，因此主要的研究集中在统计不可感知性上。近年来，高统计安全性的算法主要是基于内容自适应的最小化失真嵌入隐写框架，其基本思想是为每个载体元素定义一个失真度，目的是保证整体上的失真最小化，而嵌入主要集中在载体的高频噪声部分，这些高频噪声部分通常难以建模，即所谓的内容自适应隐写。这样的典型算法有HUGO，UNIWARD，MG，HILL，等，作为攻击手段，隐写分析者通常从载体中提取高维特征，然和结合分类器进行隐写分析。这类隐写算法的最大问题是其需要利用经验知识和特殊的技巧来设计合理的失真函数，相当于给图像建模，而目前为止图像模型仍然是一个较难问题。

随着图形显卡GPU计算性能的提升，机器学习尤其是深度学习得到了快速发展，在很多领域得到了很好的应用。2014年出现的生成对抗网络GAN(Generative AdversarialNetworks)，是一种深度学习模型，是近年来复杂分布上无监督学习最具前景的方法之一，模型中有两个模块：生成模型(Generative Model)和判别模型(Discriminative Model)，他们互相博弈学习可以生成视觉效果良好的图片，信息隐藏研究领域出现了许多利用GAN来设计隐写算法的研究成果，总体上可以分成三类。第一类是利用GAN直接生成传统意义上的载体，然后再利用传统的信息嵌入方法对载体进行嵌入，如文献提出的SGAN(Steganographic GAN)，其结构包含三个部分：生成器Generator、判别器Discriminator和隐写分析判别器Steganalyzer，在训练过程中，这三个部分同时训练，因此最终生成的图像不进能在视觉上质量较高而且还能抵抗统计检测的攻击。第二类是利用GAN来生成失真代价函数，这类方法并不是直接生成隐写后的载体，而是通过GAN与神经网络的训练，让网络自动学习一个与失真度相关的知识，然后再通过最小化嵌入失真框架嵌入信息。这种方式最最主要的贡献是将失真函数的设计由原来的人工经验设计，转变为神经网络自动学习，可以规避人工经验不足的缺陷，器性能的好坏一定程度上取决于神经网络的学习能力，具有广阔的前景。这类算法最主要的代表是文献提出的ASDL-GAN(automaticsteganographic distortion learning framework with GAN，该算法包含一个隐写生成器网络和一个隐写分析判别器网络，通过两个网络的博弈，网络可以自动学习到合适的嵌入修改概率矩阵，而这个修改矩阵可以转为失真度量值，利用最小化嵌入失真框架实现信息的嵌入。在ASDL-GAN的基础上，文献提出了UT-SCA-GAN(U-net Tanh-simulator,selection channel awareness,GAN)，该算法主要集合了基于U-net的生成器、Tanh仿真函数以及基于选择通道(先验知识)的隐写判别器，取得的性能已经与人工设计的失真函数算法相当。第三类属于无载体隐写或者无修改式隐写，即无需对载体进行显示的修改。在GAN出现之前，有两种方法可以达到这种目的，一是所谓的载体选择式隐写，从大量载体中选择合适的载体，而该载体正好能携带正确的秘密信息，无需对载体进行任何修改，理论上是绝对统计安全的；二是载体合成式隐写，利用一些纹理等基本图形来合成一些图像，在合成的过程中将秘密信息嵌入其中。总的来说这两种方法实用性都不强。随着GAN的出现和快速发展，出现了不少利用GAN实现无载体隐写的方法，Hayes提出了HayesGAN方案，该方案与文献一样主要包含三个网络：生成器Generator、判别器Discriminator和隐写判别器Steganalyzer，但是在隐写后载体生成的过程中无需显示地修改，由网络自动生成，该方案的缺陷是不能保证秘密信息的正确提取。

发明内容

鉴于目前存在的上述不足，本发明提供一种基于神经网络的图像信息隐写方法，实现了无修改的隐写方法，隐写后的载体图像并没有经过传统隐写算法的“修改”操作，理论上可以抵抗所有基于特征提取的隐写分析方法的攻击，同时对生成对抗网络和提取器进行同步训练，不仅能提高安全性而且能节省训练时间。

为达到上述目的，本发明的实施例采用如下技术方案：

一种基于神经网络的图像信息隐写方法，所述基于神经网络的图像信息隐写方法包括以下步骤：

对生成对抗网络和提取器进行同步训练，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器；

所述同步训练可为：利用原始图库和噪声样本进行模型训练，在训练的过程中有生成器、判别器、提取器的同时参与，并预先设定一个训练迭代次数，训练完成后，生成器能够生成质量好的图像、判别器无法判断生成的图像是否为自然图像或生成图像、提取器能够准确地提取出噪声信号；

发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；

接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号并将噪声信号还原成秘密信息。

依照本发明的一个方面，所述生成器的输入为噪声向量，然后通过一个全连接层和四个卷积层，输出为一副图像；所述判别器包含四个卷积层，最后一层为含有2个输出的softmax函数，用来区分生成的隐写图像和自然图像；所述提取器也包含四个卷积层，输入是与生成器输出图像维度一致的图像，最后一层为全连接层，输出是与生成器输入向量维度一致的向量，用来恢复噪声信号。

依照本发明的一个方面，所述对生成对抗网络和提取器进行同步训练包括以下步骤：固定生成器与提取器，更新判别器；固定判别器和生成器，更新提取器；固定判别器和提取器，更新生成器。

依照本发明的一个方面，所述将秘密信息转换成噪声信号具体为：利用密码算法对明文信息进行加密形成二进制比特流，然后根据约定的映射规则将密文比特流映射为噪声信号。

依照本发明的一个方面，所述将比特流映射为噪声信号具体为：比特流分割为固定长度的小段，通过下列映射方程将映射为随机噪声信号：

其中，函数random(a,b)生成一个介于a与b之间的随机数r，m为比特流小段所对应的十进制值，σ为一个随机噪声所能表示的比特数，δ为间隔参数，用来确保秘密信息的提取精度。

依照本发明的一个方面，所述接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号具体为：通过公共信道传送给接收者；接收者收到图像后，利用提取器提取出图像的噪声信号。

依照本发明的一个方面，所述将噪声信号还原成秘密信息具体为：先根据映射规则从噪声信号中恢复出密文比特流，再根据解密算法得到明文信息。

依照本发明的一个方面，所述对生成对抗网络和提取器进行同步训练有以下极大极小博弈公式：

其中生成器以G表示，判别器以D表示，提取器以E表示。

依照本发明的一个方面，所述极大极小博弈公式中，参数β用来平衡生成图像真实性与消息正确提取率，

是生成对抗网络的目标函数，其中

是在真实图像p_data(x)和生成图像集p_z(G(z))上的插值采样，λ是惩罚因子。

是提取器的目标函数，它的作用是最小化驱动噪声z与提取出噪声z'＝E(G(z))之间的差距。

依照本发明的一个方面，所述参数β根据实验确定具体选值。

本发明实施的优点：本发明所述的一种基于神经网络的图像信息隐写方法，包括以下步骤：对生成对抗网络和提取器进行同步训练，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器；发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号并将噪声信号还原成秘密信息。实现了无修改的隐写方法，隐写后的载体图像并没有经过传统隐写算法的“修改”操作，理论上可以抵抗所有基于特征提取的隐写分析方法的攻击，同时对生成对抗网络和提取器进行同步训练，不仅能提高安全性而且能节省训练时间。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所述的一种基于神经网络的图像信息隐写方法的示意图；

图2为本发明所述的一种基于神经网络的图像信息隐写方法的框架图；

图3为本发明所述的一种基于神经网络的图像信息隐写方法中不同β对应的秘密信息提取率随训练迭代轮数的变化表；

图4为本发明所述的一种基于神经网络的图像信息隐写方法中不同β值下生成器G的失真收敛趋势图；

图5为本发明所述的一种基于神经网络的图像信息隐写方法中生成器G与提取器E训练失真收敛图；

图6为本发明所述的一种基于神经网络的图像信息隐写方法中模型训练完成后生成图像的采样图；

图7为本发明所述的一种基于神经网络的图像信息隐写方法中采用不同σ值提取器的正确提取率统计图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1、图2、图3、图4、图5、图6和图7所示，一种基于神经网络的图像信息隐写方法，所述基于神经网络的图像信息隐写方法包括以下步骤：

S1：对生成对抗网络和提取器进行同步训练；

在实际应用中，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器。

在实际应用中，生成器以G表示，判别器以D表示，提取器以E表示。

在实际应用中，所述训练具体包括：生成器将噪声样本集的随机噪声信号不断转换成数字图像，判别器接收自然图像样本集并通过不断区分生成的数字图像和自然图像来逐渐改善生成器性能，生成器和判别器通过对抗训练形成生成对抗网络使生成器能生成逼真的数字图像；提取器不断接收生成的数字图像进行噪声提取，并跟生成数字图像的实际噪声作比对，通过不断的训练使提取器能提取准确的噪声信号。

在实际应用中，所述同步训练可为：利用原始的图库和噪声样本进行模型训练，训练的过程中有生成器、判别器、提取器的同时参与，预先设定一个训练迭代次数，等训练完成之后，理论上生成器能够生成质量较好的图像、判别器无法判断生成的图像是否为中自然图像或生成图像、提取器能够较准确地提取出秘密信息。

在实际应用中，所述同步训练具体采用的方案可为：将生成对抗网络训练的目标函数和提取器训练的目标函数结合，并通过一个参数平衡生成图像真实性和噪声提取正确率。

在实际应用中，所述生成器的输入为噪声向量，然后通过一个全连接层和四个卷积层，输出为一副图像；所述判别器包含四个卷积层，最后一层为含有2个输出的softmax函数，用来区分生成的隐写图像和自然图像；所述提取器也包含四个卷积层，输入是与生成器输出图像维度一致的图像，最后一层为全连接层，输出是与生成器输入向量维度一致的向量，用来恢复噪声信号

在实际应用中，生成器的输入是维度为1*100的噪声向量，输出是维度为64*64*3的一副图像；提取器输入是维度为64*64*3的一副图像，输出是维度为1*100的噪声向量，用来恢复噪声信号。

在实际应用中，所述对生成对抗网络和提取器进行同步训练有以下极大极小博弈公式：

在实际应用中，所述极大极小博弈公式中，参数β用来平衡生成图像真实性与消息正确提取率，

是生成对抗网络的目标函数，其中

是在真实图像p_data(x)和生成图像集p_z(G(z))上的插值采样，λ是惩罚因子。

是提取器的目标函数，它的作用是最小化驱动噪声z与提取出噪声z'＝E(G(z))之间的差距。

在实际应用中，本申请的生成对抗网络相对于传统的生成对抗网络，采用了梯度惩罚因子λ来解决传统生成对抗网络中存在的多样性减少以及梯度消失或梯度爆炸问题，本实施例中具体采用λ＝10。

在实际应用中，所述参数β根据实验确定具体选值。

在实际应用中，在极大极小博弈公式中的目标函数由两部分组成，前半部分为生成对抗网络的目标函数，主要功能是保证生成图像的视觉真实性，后半部分为提取器E的目标函数，主要作用为保证秘密信息的提取正确率，两者通过参数β来平衡。参数β越小，生成图像质量越好，但秘密信息提取正确率则较低；而β越大，秘密信息提取正确率则越高，但图像质量较差。

在实际应用中，本文实验基于深度学习框架Tensorflow实现，运行在拥有12G显存的NVIDIA显卡TITAN Xp上。实验所用的图库为CelebA人脸图像库，它包含202,599副178*218像素的彩色图像，由于计算性能的限制，我们使用matlab软件中自带的“imresize”函数将所有图像统一缩放到64*64像素。

在实际应用中，容量参数σ取1，间隔参数δ取0.1，对β参数的取值进行实验，训练迭代轮数epoch最大为300，图3显示了当β取不同值时秘密信息提取正确率的变化，从表中可以看出随着参数β的增长，秘密信息提取率也相应增加，这与前文的分析一致，另一方面，随着训练迭代轮数的增加秘密信息提取率总体上也是增加并趋于收敛；图4显示了不同β值下生成器G的收敛状态，可以看出当β大约小于8时G有正常收敛的趋势(图中没有收敛到稳定值是因为训练迭代次数不够，在之后的模型训练中我们将会增大迭代次数)，当β大于等于8时已经不再收敛。为了平衡两者的性能，确定β＝5。

在实际应用中，确定β＝5后，进行下一轮训练实验，采用CelebA图库的202,599副图像为自然图像样本集，参数β＝5、δ＝0.1，训练迭代轮数epoch＝800，图5显示了生成器G和提取器E的训练收敛过程，可以看出，经过充分的训练，生成器G与提取器E都能很好地收敛，而且提取器E的收敛速度明显快于生成器G，这主要是因为G的收敛要建立在复杂的图像统计模型基础上，而E的收敛建立在一维随机噪声的正确提取上。图6为训练完成后采样图像，可以看出基本能达到良好的视觉效果，与原始图库的视觉效果相似。

在实际应用中，还可设计实验，对模型性能进行测试，第一个实验是验证所提模型的秘密信息正确提取率，我们将σ值设置为1、2、3、4、5，分别代表每个噪声信号代表多少比特秘密信息，利用模型训练好的生成器生成x副图像，然后再从图像中利用训练好的提取器提取出秘密信息，正确提取率结果显示在图7中，从图中可以看出在不同的σ值下，随着训练迭代次数的增加，秘密信息的提取率逐渐增高并趋于收敛，这与上文的模型失真收敛到一个稳定值是相一致的。对于不同的σ值，可以看出随着σ值得增大，秘密信息正确提取率下降，这是因为σ越大，每个噪声所代表的秘密信息比特越多，提取器恢复噪声将会越困难，从而秘密信息正确提取率降低。

在实际应用中，本实施例方案中生成器与提取器是同时训练的，或者说充分利用了生成器的能力来指导秘密信息提取器的训练，所以本实施例的收敛速度相对传统方法更快。

在实际应用中，所述对生成对抗网络和提取器进行同步训练包括以下步骤：固定生成器与提取器，更新判别器；固定判别器和生成器，更新提取器；固定判别器和提取器，更新生成器。

在实际应用中，固定生成器G与提取器E，通过

更新判别器D，其中

固定判别器D和生成器G，通过

跟新提取器E，其中

固定判别器D和提取器E，通过

更新生成器G，其中

S2：发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；

在实际应用中，所述将秘密信息转换成噪声信号具体为：利用密码算法对明文信息进行加密形成二进制比特流，然后根据约定的映射规则将密文比特流映射为噪声信号。

在实际应用中，所述比特流映射为噪声信号具体为：比特流分割为固定长度的小段，通过下列映射方程将映射为随机噪声信号：

其中，函数random(a,b)生成一个介于a与b之间的随机数r，m为比特流小段所对应的十进制值，σ为一个随机噪声所能表示的比特数，δ为间隔参数，用来确保秘密信息的提取精度。

在实际应用中，通过之前的训练实验能确保生成器生成的隐写图像与自然图像相近，看不出区别。

S3：接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号；

在实际应用中，所述接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号具体为：通过公共信道传送给接收者；接收者收到图像后，利用提取器提取出图像的噪声信号。

在实际应用中，通过之前的训练实验能确保提取器提取的噪声信号真实可靠。

S4：将噪声信号还原成秘密信息；

在实际应用中，所述将噪声信号还原成秘密信息具体为：先根据映射规则从噪声信号中恢复出密文比特流，再根据解密算法得到明文信息。

在实际应用中，明文信息就是需要传递的秘密信息，通过以上方案使秘密信息得到了加密传输。

在实际应用中，统计安全性是隐写算法的一个重要指标，传统的主流隐写分析算法是首先对原始载体图像和嵌密图像进行特征提取，再利用分类器对学习到的特征进行分类，判断其是原始载体图像还是嵌密图像。由于本文方案中的隐写过程不存在对载体的修改，即原始载体与嵌密载体是完全相同的图像，因此理论上，在隐写分析者没有获得载体生成模型的情况下，无法用传统的基于特征+分类器的方式进行攻击，在实际的应用中，本实施例方案中的图像训练集与训练好的模型可以作为私钥保存，以确保攻击者无法获得模型。

本发明实施的优点：本发明所述的一种基于神经网络的图像信息隐写方法，包括以下步骤：对生成对抗网络和提取器进行同步训练，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器；发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号并将噪声信号还原成秘密信息。实现了无修改的隐写方法，隐写后的载体图像并没有经过传统隐写算法的“修改”操作，理论上可以抵抗所有基于特征提取的隐写分析方法的攻击，同时对生成对抗网络和提取器进行同步训练，不仅能提高安全性而且能节省训练时间。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本领域技术的技术人员在本发明公开的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种基于神经网络的图像信息隐写方法，其特征在于，所述基于神经网络的图像信息隐写方法包括以下步骤：

对生成对抗网络和提取器进行同步训练，所述生成对抗网络包括用于生成图像的生成器和用于判别图像的判别器；

所述同步训练可为：利用原始图库和噪声样本进行模型训练，在训练的过程中有生成器、判别器、提取器的同时参与，并预先设定一个训练迭代次数，训练完成后，生成器能够生成质量好的图像、判别器无法判断生成的图像是否为自然图像或生成图像、提取器能够准确地提取出噪声信号；

发送者将秘密信息转换成噪声信号并输入训练好的生成器，生成隐写图像；

接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号并将噪声信号还原成秘密信息。

2.根据权利要求1所述的基于神经网络的图像信息隐写方法，其特征在于，所述生成器的输入为噪声向量，然后通过一个全连接层和四个卷积层，输出为一副图像；所述判别器包含四个卷积层，最后一层为含有2个输出的softmax函数，用来区分生成的隐写图像和自然图像；所述提取器也包含四个卷积层，输入是与生成器输出图像维度一致的图像，最后一层为全连接层，输出是与生成器输入向量维度一致的向量，用来恢复噪声信号。

3.根据权利要求2所述的基于神经网络的图像信息隐写方法，其特征在于，所述对生成对抗网络和提取器进行同步训练包括以下步骤：固定生成器与提取器，更新判别器；固定判别器和生成器，更新提取器；固定判别器和提取器，更新生成器。

4.根据权利要求1所述的基于神经网络的图像信息隐写方法，其特征在于，所述将秘密信息转换成噪声信号具体为：利用密码算法对明文信息进行加密形成二进制比特流，然后根据约定的映射规则将密文比特流映射为噪声信号。

5.根据权利要求4所述的基于神经网络的图像信息隐写方法，其特征在于，所述将比特流映射为噪声信号具体为：比特流分割为固定长度的小段，通过下列映射方程将映射为随机噪声信号：

其中，函数random(a,b)生成一个介于a与b之间的随机数r，m为比特流小段所对应的十进制值，σ为一个随机噪声所能表示的比特数，δ为间隔参数，用来确保秘密信息的提取精度。

6.根据权利要求5所述的基于神经网络的图像信息隐写方法，其特征在于，所述接收者接收隐写图像，输入训练好的提取器，提取隐写图像的噪声信号具体为：隐写图像通过公共信道传送给接收者；接收者收到图像后，利用提取器提取出图像的噪声信号。

7.根据权利要求6所述的基于神经网络的图像信息隐写方法，其特征在于，所述将噪声信号还原成秘密信息具体为：先根据映射规则从噪声信号中恢复出密文比特流，再根据解密算法得到明文信息。

8.根据权利要求1至7之一所述的基于神经网络的图像信息隐写方法，其特征在于，所述对生成对抗网络和提取器进行同步训练有以下极大极小博弈公式：

其中生成器以G表示，判别器以D表示，提取器以E表示。

9.根据权利要求8所述的基于神经网络的图像信息隐写方法，其特征在于，所述极大极小博弈公式中，参数β用来平衡生成图像真实性与消息正确提取率，

是生成对抗网络的目标函数，其中

是在真实图像p_data(x)和生成图像集p_z(G(z))上的插值采样，λ是惩罚因子。

是提取器的目标函数，它的作用是最小化驱动噪声z与提取出噪声z'＝E(G(z))之间的差距。

10.根据权利要求9所述的基于神经网络的图像信息隐写方法，其特征在于，所述参数β根据实验确定具体选值。

Images