你的秘密正在暴露：深度图像隐藏模型出人意料地容易被攻击

核心问题：深度图像隐藏（deep image hiding）中，攻击者能否超越"检测有无秘密"，在零样本条件下提取秘密图像本身的内容。

• 场景与重要性：图像隐藏把整张秘密图像藏进 cover 图像，已被用于隐私保护应用，如 AIRPNet 在 stego 域直接做图像复原、StegaVAR 在 stego 域做视频动作识别。作者认为，若秘密内容可被提取，这些应用的隐私承诺将直接失效。
• 现有方法的不足：已有安全研究主要是隐写分析（steganalysis），即二值检测图像是否为 stego；作者指出，检测器能告诉攻击者秘密存在，却不能告诉秘密画的是什么。
• 核心观察：作者发现，按常规方式训练的隐藏模型解码器，能识别不同隐藏模型共享的嵌入模式；对 11 个模型的频域分析显示，多数模型偏好在中高频嵌入秘密。
• 论文提出的内容：一个"secret showing"攻击（训练自己的解码器做零样本跨模型提取）、一个由 11 个隐藏模型生成的 83,050 张 stego 图像评测数据集、两个增强攻击的训练设置（ours+、ours++），以及人眼与机器（图像检索）两个层面的泄漏评估。
• 威胁模型：
  • 目标：从 stego 图像中恢复秘密图像的可识别语义内容，而非仅检测秘密存在。
  • 知识：攻击者不知道生成 stego 图像的目标编码器，也不知道对应解码器；不需要目标模型的训练数据集。
  • 能力：用自选数据集按标准流程独立训练一个图像隐藏模型，冻结其解码器，直接作用于未见模型的 stego 图像，无目标特定训练或微调（zero-shot）。
  • 受害系统：11 个深度图像隐藏模型（INN 与 autoencoder 两族）及基于隐写的隐私保护应用 AIRPNet。

深度图像隐藏

• Baluja [3]——提出卷积 encoder-decoder 框架，把整张彩色图像藏进同尺寸图像，是深度图像隐藏的早期工作。
• HiNet [17]——用可逆神经网络（INN）把隐藏与恢复建模为同一网络的正逆过程；后续方法分 autoencoder 与 INN 两族，并引入 Transformer、Mamba 骨干和空域/小波域嵌入（如 StegFormer [19]、StegMamba [27]）。
• DeepMIH [14]——基于 INN 的多图像隐藏，本文用它做多秘密攻击实验。

基于隐写的隐私保护

• AIRPNet [13]——把低质量隐私图像藏进 cover，直接在 stego 图像上做复原（去噪、去模糊、超分），用户之后恢复增强后的秘密图像；本文把它作为攻击隐私应用的测试案例。
• StegaVAR [7]——把动作视频藏进普通 cover 视频，在 stego 域直接做动作识别。
• CloakDiff [26]——用扩散式对抗编辑阻碍视觉语言模型的隐私推断，再把原图嵌入对抗样本以便恢复。

隐写分析（steganalysis）

• 传统与 DNN 检测器——rich-model 方法 [8, 12] 与 DNN 方法 [4, 43] 做二值 stego 检测；作者指出这类方法只能判断秘密是否存在，无法说出秘密内容。
• 跨模型检测——Li et al. [24] 显示攻击者用少至 50 对 cover-stego 图像即可训练有效检测器；Wang et al. [37] 的检测器可在一定程度上泛化到训练中未见的模型。
• Mallet et al. [28]——近期的隐写分析工作，报告其方法能显露 AIRPNet 所藏秘密的大致轮廓；本文在攻击 AIRPNet 时把它作为对比基线，作者称其提取性能有限。

基线与基准：攻击 AIRPNet 时对比 UDH [42] 和 Mallet et al. [28]；评测数据集为 COCO、ImageNet（主实验）、DIV2K（训练），以及 sketch、logo、cartoon 三个分布外秘密数据集。

作者定位：以往安全研究聚焦隐写分析式检测，本文则称深度图像隐藏存在秘密语义泄漏，攻击从"是否藏了秘密"推进到"秘密是什么"。

整体思路：攻击者独立训练一个图像隐藏模型，把它的解码器当作"秘密提取器"，直接作用于未见模型生成的 stego 图像；再根据频域分析得到的嵌入偏好设计训练增强，让泄漏内容更清晰。方法名为 "secret showing" attack（Figure 2）。

问题设定

• 深度图像隐藏中，cover 与 secret 经编码器生成 stego 图像，合法接收方用对应解码器恢复 secret。
• 攻击者不知道目标编码器/解码器，只能依赖隐写分析器做二值检测；本文把攻击目标从检测推进到内容提取。

攻击流程（两步）

1. Preparing：攻击者任选一个图像隐藏模型（论文主用开源的 HiNet [17]），按其官方训练流程在自选数据集上训练；无需参考其他模型，也无需目标模型生成的 stego 图像。
2. Attacking：冻结训练好的解码器，直接对未见隐藏模型生成的 stego 图像前向推理，零样本得到秘密图像内容；无目标特定训练或微调。

评测数据集与频域分析

• 用 11 个有公开或官方实现的隐藏模型生成 83,050 张 stego 图像，涵盖 INN 与 autoencoder 两族、CNN/Transformer/Mamba 骨干、空域与频域嵌入（Table 1）。
• 计算每张 stego 与对应 cover 的嵌入残差 Δ res = I_stego − I_cover，沿用 Wang et al. [38] 的频域分析可视化其归一化功率谱（Figure 3，基于 DIV2K、COCO、ImageNet 测试集的 7,550 对图像）。
• 作者称多数模型偏好在中高频分量嵌入，据此设计训练增强。

两个增强设置

• ours+：训练 HiNet 时增强 cover 图像的纹理、抑制 secret 图像的纹理。
• ours++：在 ours+ 基础上，把 HiNet 低频损失的权重 λf 加倍；两者都促使网络把信息藏进 cover 的高频分量。
• 另有一个更温和的变体 †（增强强度比 + 降低 25%），只出现在 Figure 8 的增益分析中。

成功判定与评测方式

• 人眼判读：提取图像与 secret 参考图并排展示（Figure 4），作者称关键纹理模式暴露、可辨认秘密内容。
• 机器判读（secret retrieval）：把提取图像送入 DINOv3 ViT-L/16（自监督视觉基础模型），用其最后一层 CLS token 嵌入的余弦相似度，在候选图库中检索原始 secret；候选图库限定为该次评测所用的全部原始 secret 图像。
• 指标：R@K（原始 secret 出现在前 K 个检索结果中的查询百分比，K=1/10/20/50），另报 PSNR 与 SSIM；作者指出 PSNR/SSIM 受 cover 干扰，不能充分反映语义泄漏。
• 主实验在 COCO 与 ImageNet 上进行，分别随机选取 5,000 和 10,000 张图像。

实验设置

• 攻击方模型：HiNet [17] 按官方设置训练（训练集 DIV2K）；另测 ResNet-50 搭建的隐藏/恢复网络。
• 目标模型（11 个）：HiNet、LiDiNet、StegFlow、StegMamba、EFCA-DIH（INN 族）；Baluja、StegFormer、Ectformer、StegTransX、UDH、URSMamba（autoencoder 族）；另加 AIRPNet（隐私保护应用）和 DeepMIH（多图像隐藏）。
• 数据集：主实验 COCO（5,000 张）与 ImageNet（10,000 张）；分布外秘密用 sketch [33]、logo [32]、cartoon [44] 数据集，cover 来自 COCO。
• 评审方式：DINOv3 ViT-L/16 最后一层 CLS token 嵌入的余弦相似度做检索；候选图库为该次评测的全部原始 secret 图像。
• 指标：R@1/R@10/R@20/R@50、PSNR、SSIM。
• 基线：攻击 AIRPNet 时对比 UDH [42] 与 Mallet et al. [28]；另有用 stego 图像直接做检索的对照实验（在补充材料）。
• 论文未报告重复次数与统计显著性检验。

主结果

Table 2：HiNet 解码器对 10 个未见模型的跨模型秘密检索（COCO，R@1/R@10，%）：

表格较宽，可左右滑动

目标模型	ours R@1	ours R@10	ours+ R@1	ours+ R@10	ours++ R@1	ours++ R@10
LiDiNet	8.20	16.16	9.64	19.64	6.52	14.52
StegFlow	3.44	7.72	25.64	41.36	4.44	10.48
StegMamba	6.72	14.92	3.92	10.32	29.88	48.16
EFCA-DIH	30.96	50.84	57.92	76.72	70.04	85.20
Baluja	0.60	2.92	2.12	6.40	0.32	1.96
StegFormer	0.72	2.56	1.44	3.64	13.80	22.88
Ectformer	64.56	80.68	74.48	86.08	27.84	45.96
StegTransX	5.08	11.48	23.60	37.80	1.80	4.60
UDH	23.32	42.76	5.00	12.64	4.72	12.48
URSMamba	35.20	55.12	23.24	42.88	96.60	99.40

• 作者称：无增强的 ours 已对多数模型有效；不同模型各有最适合的增强变体（Table 2 以蓝色标出每个目标的最佳设置），没有单一变体在所有模型上最好。
• 作者承认两种增强的收益在不同模型间不均匀，归因于各模型嵌入偏好的强弱不同；强调增强实现简单、推理无额外成本。
• ImageNet 结果趋势相近，如 ours++ 对 URSMamba 的 R@1 为 97.22%（Table 2）。

分布外秘密与多图像隐藏

• 分布外秘密（Table 3，ours+）：sketch 上 6 个模型 R@1 超过 50%（如 HiNet 68.50、Ectformer 86.40），logo 上 7 个模型超过 50%（如 EFCA-DIH 85.40）；cartoon 上 HiNet、Ectformer、EFCA-DIH 两个指标均超 50%。作者称部分结果优于 Table 2，并认为语义单一清晰的秘密更容易被视觉模型识别。
• 多图像隐藏（Figure 6）：对 DeepMIH 与 StegFormer（每张 cover 藏 2 张 secret，COCO 测试集），ours+ 能清晰暴露第一张 secret 的核心语义，第二张未恢复；StegFormer 的第二个输出错误地反映第一张 secret 的语义。作者称攻击对多图像隐藏部分有效；定量结果在补充材料。

攻击 AIRPNet 与跨解码器泛化

• AIRPNet（Table 4）：COCO 上 ours/ours+/ours++ 的 R@1 为 17.00/35.60/45.00，高于 Mallet et al. [28] 的 8.44 和 UDH [42] 的 0.48；ImageNet 趋势相同。作者称 [28] 只能显露大致轮廓，UDH 输出几乎无可利用信息。
• 跨解码器（Table 6）：每个模型的解码器对其余 11 个来源模型取平均召回，URSMamba 解码器平均 R@1 最高（35.68），HiNet 为 17.80，Baluja 最低（0.63）；作者称所有被测模型的解码器都在不同程度上具备这种"通用"提取能力，可充当"master key"。
• ResNet-50 提取器（Figure 9）：对 4 个代表性目标模型，输出以 stego 轮廓为主，但含秘密内容的痕迹（图中黄框标出）；作者称无隐写专用结构的标准网络也能发展出该能力。

其他消融与分析

• 训练数据（Table 5）：改用 ImageNet-2000/10000 训练提取器仍对所有模型有效；多数目标在 10,000 张上召回更高（如 HiNet 目标 R@1 从 31.08 升至 41.00，但 LiDiNet 从 7.00 降到 3.56，EFCA-DIH 从 33.08 降到 23.32）。
• 增强增益（Figure 8）：对 11 个目标报告 +、++、† 相对无增强的平均 R@50 增益，多数为正，个别为负（图中标出 -3.3%、-7.8%、-33.1% 等）；作者称增益支持多数模型存在共享嵌入模式。
• 机理分析（Figure 10）：在 HiNet 解码器各逆块 η 子网络测通道激活变化，作者称不同来源的 stego 在许多相同通道上引发最大响应，且对残差做傅里叶相位随机化后该模式仍在；作者据此推测解码器利用了各模型嵌入痕迹共享的频谱模式。
• 负面结果：ours+ 对 UDH 的 R@1 从 23.32 降到 5.00（Table 2）；多图像隐藏中第二张 secret 未恢复；作者未解释这些例外的原因。

作者指出的局限与后续方向

• 机理未明（Conclusion）：作者称分析提示端到端训练使解码器能识别跨模型共享的嵌入模式，但精确机理仍是开放问题（"the precise mechanism remains an open question"）。
• 多图像隐藏只恢复一张（Sec. 4.4）：攻击只暴露第一张秘密图像的语义，第二张未恢复，作者称攻击对多图像隐藏仅部分有效。
• 增强收益不均（Sec. 4.2、4.6）：两种增强不能提升对所有模型的攻击（如对 UDH），作者归因于各模型嵌入偏好强弱不同。
• PSNR/SSIM 的局限（Sec. 4.2）：作者指出这两个指标受 stego/cover 干扰，不能充分反映秘密语义是否泄漏，因此引入检索式评估。
• 论文未设专门的 Limitations 小节；以上均出自正文相应小节与结论。

实验覆盖范围

• 被测隐藏模型共 11 个（Table 1），另加 AIRPNet（Sec. 4.5）和 DeepMIH（Sec. 4.4）；主攻击方模型为 HiNet，另测 ResNet-50 提取器（Sec. 4.6）。
• 主实验在 COCO（5,000 张）与 ImageNet（10,000 张）上进行；分布外秘密覆盖 sketch、logo、cartoon 三类，cover 来自 COCO（Sec. 4.3）。
• 检索评审用 DINOv3 ViT-L/16，候选图库限定为该次评测的全部原始 secret 图像（Sec. 4.2）；论文未报告重复次数和统计显著性检验。
• 训练细节、多图像隐藏的定量结果、完整跨解码器结果和 stego 直接检索的对照实验均在补充材料中，本次转换文本未包含。
• 论文称代码和数据集将开源（"will be open-sourced"），即作者计划发布，尚未完成。

一篇针对深度图像隐藏（image-in-image steganography）的攻击论文，把威胁从"检测秘密存在"推进到"提取秘密内容"。

• 问题：隐写分析只能判断图像是否藏有秘密；作者问攻击者能否在不知道目标模型的情况下，直接看出秘密图像画的是什么。这关系到 AIRPNet 等基于隐写的隐私保护应用是否成立。
• 方法：攻击者用自选数据集按标准流程训练一个隐藏模型（主用 HiNet），冻结其解码器，对 11 个未见模型生成的 stego 图像做零样本提取；基于"多数模型偏好中高频嵌入"的频域发现，训练时增强 cover 纹理、抑制 secret 纹理（ours+）并加倍低频损失权重（ours++）。
• 主结果：以 DINOv3 检索评估，COCO 上无增强攻击对多数模型有效（如对 Ectformer R@1 64.56%）；各模型最佳变体下，ours++ 对 URSMamba 的 R@1 达 96.60%，ours+ 对 Ectformer 的 R@10 达 86.08%（Table 2）。
• 扩展实验：攻击对 sketch、logo、cartoon 分布外秘密有效（sketch 上 6 个模型 R@1 超 50%）；对多图像隐藏只能恢复第一张秘密；对 AIRPNet 的 R@1 最高 45.00%（COCO，ours++），高于对比的 Mallet et al. 和 UDH。
• 泛化性：全部 11 个模型的解码器都有程度不一的跨模型提取能力（平均 R@1 从 Baluja 的 0.63 到 URSMamba 的 35.68）；连无隐写专用结构的 ResNet-50 提取器也能显露秘密痕迹。
• 作者结论：作者认为端到端训练让解码器学到跨模型共享的嵌入模式，每个被测模型都可充当"master key"；精确机理仍开放。作者称从此不能再依赖深度图像隐藏来保守秘密图像的内容，并计划开源代码与数据集。