[发明专利]基于对抗样本生成的深度自适应图像隐藏方法

权利要求书

1.基于对抗样本生成的深度自适应图像隐藏方法，包含的主要步骤：

1)设计实验样本；

使用VOC2007，ImageNet和OpenImage三个数据集中的数据组成实验样本数据集；定义需要隐藏的图为secret图，将接受隐藏信息的图为cover图，通过encode网络加入隐藏信息的结果图为container图，由container图解析出来的图为revealed图；使用ImageNet为secret图集，三个数据集中的不交叉部分为cover图集；对于secret图和cover图组合，进行SSD的类别测试，获得cover图中与secret图类语义相似的区域作为之后局部隐藏的patch；最后，将secret图、cover图和其选定的patch组合获得实验的样本集；

2)建立局部隐藏patch选择的SSD网络；

首先，寻找cover图中适合隐藏secret图的patch，以实现图像隐藏的局部隐藏特性；由于语义相似的两个部分能够达到更好的隐藏效果，故建立SSD网络进行cover图中将被隐藏的patch的选择；组成19层卷积层的SSD网络，检测secret图的类别；然后在SSD网络中输入cover图，寻找cover图中所有类别A的bounding box，采用0.5置信度的bounding box作为最后结果，使得在保存一定的语义条件下不容易被攻击方识别，从而完成局部隐藏的隐藏区域选择；

3)建立encode网络；

利用对抗样本的思路来实现图像隐藏方法，赋予当前认为只存在不利方面的对抗样本以有利的意义；encode网络首先输入secret图，按照生成对抗样本的方法生成扰动，对抗样本产生的方法如公式(1)所示；

min_ρ||ρ||₂ s.t.C(I_c+ρ)＝l；I_c+ρ∈[0，1]^m (1)

其中，ρ是需要加入的扰动，I_c指的是原有的图像，C指的是网络分类器，l则是需要网络误分类的分类结果；由于所需要的扰动人眼不可见，所以设定条件||ρ||₂；

在cover图中选出的patch位置上直接加上encode网络产生的扰动，得到包含隐藏信息的container图；组成12层卷积层的encode网络，得到与cover图相似的container图，要求训练得到的container图不仅仅在定量测试的数值上，也要再定性观察的肉眼效果上达到安全隐藏的标准，即cover图与container图相似，且在添加过扰动后没有能用肉眼辨识出来的处理痕迹；

4)建立decode网络；

总体结构与encode网络相似，组成12层卷积层的decode网络；在decode网络中，输入已经局部隐藏secret图信息的container图和局部隐藏的坐标信息，在经过和encode网络完全相反的操作后，输出revealed图，目标是revealed图与secret图相似，以完成重建操作；与encode网络的要求一样，在定量的数值测试和定性的肉眼效果上都要达到标准；

5)训练和测试encode和decode网络；

为完成更高的准确率，对每一组输入的图片都进行个性化的参数配置，对于encode网络和decode网络的联合训练采用两个阶段；

①初始训练：

构建上述结构的encode网络和decode网络后，同时训练两个网络，调整其参数；设置训练集数据量为2000张cover图和2000张secret图，batch size为1，学习率为10^-4；定义初始阶段训练的loss值为L_steg，如公式(2)所示有两个部分，一是secret图和revealed图的差值，保证decode还原出来的revealed图符合要求；二是扰动值尽量小，参考对抗样本的生成手法，以保证得到的container图与原来的cover图相似；

L_steg＝||ρ||₁+α||g(I_c+ρ)-I_s||₁ (2)

其中，α用来调节两种参数的比重，g为接收container图的decode网络，ρ为用对抗样本生成的扰动，I_c+ρ代表的就是container图，loss值使用L₁范数形式；

②二次训练和测试：

在使用2000对的cover图和secret图训练好初步的网络后，输入测试的图片对；在这个阶段，考虑到container图的接收方不能得到secret图的具体数值，固定decode网络的所有参数，对encode网络进行迭代更新；设置迭代更新的次数设置为100000，loss由两部分组成，与第一阶段的loss相同，分为secret图与revealed图的差值和扰动值；对于每一组图都进行个性化迭代，取得每一组的高质量隐藏和重建结果；

局部隐藏和整体隐藏在肉眼上的一个主要区别在于整体隐藏可以容许稍高一些container图和cover图的差值，只要在总体上肉眼辨识不出就符合标准，可以出现色差；而局部隐藏不允许出现色差，否则选定的patch部分在肉眼上与其周围部分将会出现很大的差距，存在明显的边缘线，故局部隐藏需要cover图和container图差值极小，即扰动值足够小。