NFT图像隐写

王子驰，冯国瑞，张新鹏

（1. 上海大学通信与信息工程学院，上海 200444； 2. 深圳大学深圳媒体信息内容安全重点实验室，广东 深圳 518060）

0 引言

图像隐写旨在将秘密信息嵌入数字图像中以实现隐蔽通信。隐写分析则根据隐写修改引起的载体数据统计异常来判断可疑图像中是否含有秘密信息[1]。近年来二者均得到快速发展。图像隐写采用的载体类型主要包括两种：自然图像（对真实场景拍摄的成像）[2]和生成图像（利用深度学习技术生成）[3]。其中，自然图像为真实世界的客观描述，而生成图像则是可能场景的合理呈现。

借助元宇宙进行隐蔽通信的研究是图像隐写的一个重要分支。非同质化代币（NFT，non-fungible token）是元宇宙中用于表示数字资产的唯一加密“货币”令牌，可用于买卖[4]。在NFT中国（NFTCN）平台[5]上，用户可自由创作、交易、分享和收藏NFT数字艺术作品（目前均为数字图像）。NFTCN平台上的数字艺术作品被称为NFT图像。NFT图像的内容既非真实世界的客观描述，也非可能场景的合理呈现，而是虚拟空间的自主定义。本文旨在利用NFT图像进行隐写。

NFTCN平台与推特、微博、微信等社交网络不同，该平台不会对上传的图像进行预处理，即下载的图像与上传版本完全一致。因此，NFTCN平台是理想的隐写信道，利用其进行隐写时无须考虑信息嵌入的鲁棒性。所有隐写方案均可保证将含密图像上传至NFTCN平台后，在下载的图像中正确提取秘密信息。此外，NFT图像的多样性为隐写提供了天然屏障。NFT图像为数字艺术作品，由用户自行创作，其内容多种多样，在数据空间分布较广。此种情形下几乎所有包含语义的图像内容可视为“正常”，即正常NFT图像的范围覆盖较广，这为秘密信息的隐藏提供了极大便利。为了保证原创，上传的NFT图像不能与其他作品相同或高度相似，从而保证了NFT图像的多样性。因此，在NFT图像上进行隐写有较大的可行性与应用价值，但目前还未有以NFT图像为载体的隐写方法。

本文提出了一种用于NFT图像的隐写方法。由于图像纹理细节有利于掩盖隐写的修改痕迹，首先对NFT图像的高频与边缘轮廓部分进行增强，使增强后的图像更适合隐写，将增强后的图像作为隐写的载体图像。之后将增强前图像看作增强后图像的相似版本，以增强前图像为参考，确定载体图像每个像素加1或减1的倾向修改方向，据此对隐写失真代价函数进行优化，调整载体各像素的修改代价以满足确定的倾向修改方向，进一步提升隐写抗检测性。最后利用主流隐写编码框架在载体图像中进行信息嵌入。

有研究者通过增强载体图像提高隐写抗检测性。文献[6]利用Gamma变换对载体图像进行增强。与之不同，本文对高频与边缘轮廓增强。除载体增强外，本文还提出了针对NFT图像的代价优化方法。以增强图像与原始图像的差异为参考，调整载体像素代价值，进一步提高了NFT图像隐写的抗检测性。本文的主要贡献如下。

1) 提出了针对NFT图像的载体增强方法。通过对图像高频与边缘轮廓进行增强，增加了像素值的随机性。上述操作使隐写的修改痕迹被掩盖在像素值的随机性中，从而使隐写分析工具难以区分隐写修改痕迹与增强引起的随机性。

2) 提出了针对NFT图像的代价优化方法。以增强图像与原始图像的差异为参考，确定载体图像各像素加1或减1的倾向修改方向，据此调整载体像素代价值，进一步提高了NFT图像隐写的抗检测性。

1 相关工作

NFT图像隐写的相关工作包括图像隐写与图像隐写分析。

1.1 图像隐写

目前最有效的数字图像隐写框架通过最小化含密图像在预定义失真代价函数下的加性失真来保证隐写安全[7]，其中失真代价函数为图像各像素分配一个代价值以衡量修改风险。之后通过最优隐写编码如STC（syndrome trellis coding）[8]或SPC（steganographic polar code）[9]来实现最小化加性失真嵌入。有许多适用于数字图像的失真代价函数，WOW（wavelet obtained weights）[10]将图像各方向定向残差加和的倒数作为像素的失真代价值；UNIWARD（universal wavelet relative distortion）[11]将一组小波方向滤波器在像素或DCT系数变化前后的改变量作为失真代价；HILL （high-pass，low-pass, and low pass）[12]采用聚集修改位置策略来提高抗检测性；MiPOD（minimi- zing the power of optimal detector）[13]根据似然比检验求解最佳检测器，通过求解非线性代数方程得到像素的修改概率，并反推各像素的失真代价。也有运用深度学习技术设计的隐写失真函数，

UT-GAN（U-Net ternary embedding with generat- ive adversarial network）[14]利用U-Net网络[15]将载体图像转换为像素修改概率图。

有研究者对已有隐写失真函数进行优化。文献[16]通过多次嵌入，根据对抗性样本的反向梯度方向决定代价值的倾向修改方向。Denemark等[17]将同一场景中的多幅图像作为边信息来优化JPEG失真函数。Chen等[18]通过放大局部纹理，在保持图像原有特性的同时突出纹理区域。Zhang等[19]通过将像素的联合失真拆分为单个失真来考虑像素修改后对其邻域像素的影响。Zhou等[20]将多种性能相近的失真函数赋予的代价值差别较大的像素称作“争议像素”，通过对争议像素赋予较高的修改概率来融合多种失真函数。文献[21]则利用维纳滤波构造参考图像，并据此确定代价值的倾向修改方向。Li等[22]改进参考图像的构造方法，采用去块效应滤波器构造参考图像。除自然图像外，也有针对非自然图像的失真函数，如纹理合成图像[23]、虹膜图像[24]、表情图像[25]、增强图像[26]等。本文将针对NFT图像提出新的失真代价函数优化策略。

1.2 图像隐写分析

主流的图像隐写分析采用机器学习方法检测秘密信息的存在性，主要分为人工特征隐写分析与深度学习隐写分析。

人工特征隐写分析主要研究隐写操作引起的图像统计特性变化，首先提取图像特征，之后训练分类器进行检测。主要捕捉隐写对载体像素修改造成的图像统计特性变化，需要抑制图像内容、放大隐写噪声。目前已有许多隐写分析特征提取方法，如SPAM（subtractive pixel adjacency matrix）[27]、SRM（spatial rich model）[28]、PSRM（projections of spatial rich model）[29]、maxSRMd2（selection-channel-aware rich model）[30]、SCRMQ1（spatial color rich model）[31]、TLBP（threshold local binary pattern）[32]等。大多数隐写分析特征为高维特征，主要采用集成分类器[33]进行训练。集成分类器由若干个子分类器组成，其中子分类器采用Fisher线性分类判决。各子分类器从高维空间中以一定步长随机抽取若干维特征进行训练，取训练误差最小的子分类器。实际检测时各子分类器投票给出最终决策。

深度学习方法的出现在很大限度上改变了隐写分析研究方向。文献[34]用多个高通滤波器获取图像残差，将残差送入CNN进行训练得到TLU-CNN。Li等[35]采用不同的高通滤波器分别训练3个子网络，再通过全连接层整合。文献[36]提出了一种深度残差网络结构来避免启发式地设计网络以提高隐写分析网络的开发效率。文献[37]考虑利用已有网络在不重新训练其参数的情况下对不同大小的图像进行隐写分析。文献[38]利用联邦学习技术实现隐写分析，多个参与者共同训练一个隐写分析网络，彼此仅共享网络模型信息，不共享训练参数。

本文采用上述的部分隐写分析方法检验隐写抗检测性，并与现有隐写方案进行对比。

2 NFT图像隐写方法

本文提出了一种NFT图像的隐写方法，其框架如图1所示，对一幅给定的原始NFT图像Xo，首先将其高频与边缘轮廓部分进行增强，以丰富图像中有利于掩盖隐写修改痕迹的细节部分，从而使增强后的图像Xc更适合隐写。将Xc作为载体，利用现有的失真代价函数为Xc的各像素分配失真代价值ρu。之后对ρu进行优化，根据Xo与Xc像素的差异确定Xc各像素加1或减1的倾向修改方向，并根据此差异调整Xc各像素的修改代价以满足确定的倾向修改方向，得到可进一步提升隐写抗检测性的失真代价值ρv。最后利用主流隐写编码框架在Xc中嵌入秘密信息m，得到含密图像Xs。下面分别对本文所提方法的4个主要过程进行介绍。

图1 本文所提方法框架Figure 1 Architecture of the proposed method

2.1 载体增强

由于图像纹理细节有利于掩盖隐写的修改痕迹，本文首先对原始NFT图像Xo的高频与边缘轮廓部分进行增强，使增强后的图像Xc更适合隐写，将Xc作为隐写的载体图像。

首先在Xo中添加轻微的高斯噪声z~N(0, 0.000 1)，以在不影响NFT图像正常的创作、交易、分享和收藏等功能的条件下丰富图像的高频成分，得到图像Xt。可证明在图像中添加参数分别为μ与σ2(σ> 0)的高斯噪声N(μ,σ2)后，图像的峰值信噪比（PSNR，peak signal to noise ratio）为

证明过程见附录。加入噪声z~N(0, 0.000 1)后，所得图像Xt相对于图像Xo的峰值信噪比为40 dB，即图像保持了较高质量。因此添加轻微高斯噪声的操作不影响图像内容及其在元宇宙中的正常使用。由于NFT图像不同于自然图像，其内容为用户自主定义，因此只要不影响正常使用，添加噪声等操作在NFT图像中可被允许。

之后对图像Xt的边缘轮廓部分进行增强，进一步丰富有利于掩盖隐写修改痕迹的细节部分。采用Sobel算子计算图像像素值的梯度，将梯度方向变化较大的区域作为边缘，即图像Xt第(i,j)个像素处的梯度值g(i,j)为

其中，gh(i,j)与gv(i,j)分别为水平与垂直方向的梯度值，分别由式(3)与式(4)计算得到，Gh与Gv分别为gh(i,j)与gv(i,j)对应的梯度矩阵。

由于隐写算法的修改幅度通常为1±且集中于纹理较为复杂的边缘轮廓区域，本文对图像Xt中定位好的边缘轮廓部分进行随机的加减1操作，最终得到增强后的载体图像Xc。即隐写信息嵌入的对象为增强后的载体图像，而不是原始的NFT图像。图像高频与边缘轮廓部分由于随机性强、难以预测，历来为隐写与隐写分析双方关注的重点。尽管部分隐写分析特征是从纹理区域来构造特征模型的，增强载体图像边缘轮廓仍有利于提高隐写抗检测性，这是由于边缘轮廓增强后，其像素值的随机性增强。上述过程使隐写过程中对边缘轮廓像素的修改痕迹被掩盖在边缘轮廓的随机性中。隐写分析工具难以区分隐写修改痕迹与增强引起的随机性，即增强载体图像边缘轮廓可使隐写分析难以从纹理区域构造准确的特征模型。

2.2 代价函数设计

本文将增强后的图像Xc=[xc(1),xc(2) ,…,xc(n)]T∈{0, 1,…, 255}n×1作为隐写载体，采用STC隐写编码框架嵌入秘密信息m=[m(1),m(2),…,m(k)]T∈{0, 1}k×1。由最小化加性失真框架[8-9]可知，在含有n个像素的Xc中嵌入k比特信息的理论最小失真D为

参数λ用于使修改概率的信息熵等于需要嵌入的信息量k，如式(10)所示。

即在最小化加性失真框架下需要设计失真代价函数来为载体各像素赋予修改代价。目前已有许多适用于数字图像的失真代价函数，本文利用现有隐写方法得到各像素的代价值ρu，之后对ρu进行优化。

2.3 代价优化

设图像Xo与Xc像素的差异为∆=[δ(1),δ(2),…,δ(n)]T，即δ(i)=xc(i)−xo(i)。首先利用改进的Sigmod(·)函数Ψ(·)调整像素差异取值，如式(11)所示。

其中，参数α> 0用于调节函数值域的变化速度。式(11)用于将像素残差的取值限定在−0.5到0.5之间，并将调整后残差的绝对值作为调整隐写代价值的幅度。原始Sigmod(·)函数值域为0～1，并关于(0, 0.5)中心对称。当残差取值为0时，表示载体图像与原始图像像素无差异，此时不应修改隐写代价值。将Sigmod(·)函数值减去0.5，使值域关于(0, 0)中心对称，以满足隐写代价优化所需，则初始代价ρu可由式(12)~式(15)进行优化。

1) 对安全要素的设计和生态意义的考虑不足，多数未能做到濒水景观环境的艺术、技术与安全因素三者的有机统一[14]；

即初始状态下xc(i)的加1与减1的代价值与分别等于与，若xc(i) >xo(i)，减小使xc(i)进行加1修改的概率大于减1修改，从而使修改后的xc(i)远离xo(i)。这是由于增强后的图像Xc比原始图像Xo更适合隐写，因此当隐写过程中需要修改图像像素值时，应朝着远离Xo的方向修改。反之，若xc(i)

2.4 信息嵌入

最小化加性失真理论给出了固定嵌入量下的理论最小失真界限，STC则提供了逼近上述理论界限的实际编码方法。信息嵌入过程如式(16)所示。其中D(Xc,Xs)为含密图像Xs相对于载体图像Xc的Y失真，失真度量方式由失真函数决定。即在m的陪集C(m)中寻找与Xc距离最近的码字作为含密对象，即寻找加性失真最小的嵌入方案。

陪集C定义如式(17)所示，H∈{0,1}k×n为校验矩阵。STC将秘密信息看作线性码的伴随式，而线性码由H确定。

陪集中所有码字r均满足Hr=m，即陪集中的所有码字左乘校验矩阵均可得到秘密信息。因此提取过程很简单，如式(18)所示，将含密图像Xs左乘C的校验矩阵H即可得到秘密信息。

上述过程中的载体增强与代价优化方法均针对NFT图像设计，不适用于一般图像。对于载体增强，本文通过添加轻微高斯噪声以及随机修改图像边缘部分，对图像高频与边缘轮廓进行增强。此操作不属于正常的图像处理，在自然图像中属于异常行为，可被隐写分析工具判为含密。而NFT图像内容本身就具有自定义性，几乎所有包含语义的图像内容可视为“正常”，只要不影响使用，添加噪声等操作在NFT图像中可被允许，其不能成为秘密信息存在的证据。因此，本文提出的载体增强方法为针对NFT图像设计。对于代价优化，本文以增强图像与原始图像的差异为参考，确定载体图像各像素加1或减1的倾向修改方向，据此调整载体像素代价值。一般图像隐写虽也有代价优化的方法，但其思想为使载体图像像素值朝着靠近参考图像像素值的方向调整像素代价值。而本文朝着远离参考图像像素值的方向调整载体像素代价值。这是由于增强后的载体图像比参考图像更适合隐写。因此，本文提出的代价优化方法也是针对NFT图像设计的。

3 实验结果

本节首先介绍实验环境，之后确定方法参数取值，再进行消融实验，最后用隐写分析工具检验本方法的有效性。

3.1 实验环境

（1）图像库

由于本文方法是针对NFT图像设计的，因此未采用隐写领域常用的自然图像库。实验采用NFTCN平台[5]下载的1 000幅不同尺寸的彩色NFT图像（大多数尺寸为400×400，此外主要包括400×500、400×533，以及400×560等），作为原始图像Xo；采用2.1节所述方法进行增强后得到对应的1 000幅载体图像即Xc。本文方法隐写信息嵌入与隐写分析的对象均为增强后的载体图像，而不是NFTCN平台直接下载的图像。

（2）隐写方法

用于获取初始代价ρu的隐写方法为HILL、MiPOD，以及针对视觉增强图像设计的隐写失真函数DFEI[26]，所有嵌入过程均采用STC编码的模拟嵌入器[39]完成。嵌入率分别设定为 0.1 bit/pixel、0.2 bit/pixel、0.3 bit/pixel、0.4 bit/pixel、0.5 bit/pixel，嵌入完成后即可得到含密图像Xs。NFTCN平台上的图像数量还较少，未搜集到大量的NFT图像，因此本实验未采用基于深度学习的UT-GAN等隐写方法。

（3）隐写分析方法

用于检验隐写抗检测性的隐写分析特征采用SPAM[27]、maxSRMd2[30]、SCRMQ1[31]、TLBP[32]。并采用集成分类器训练及测试特征。即采用上述隐写分析方法分别提取1 000幅增强的载体图像Xc以及对应的含密图像Xs的特征。其中，将特征集的一半作为训练集，另一半作为测试集。评价分类性能的指标为测试误差PE，如式(19)所示。

其中，PFA与PMD分别为虚警率（将正常图像Xc判断为含密图像Xs的概率）与漏检率（将含密图像Xs判断为正常图像Xc的概率）。PE越小表示隐写分析性能越好，隐写抗检测性越差。通常0 ≤PE≤ 0.5，PE= 0.5代表随机猜测，即分类器完全无法区分正常图像特征与含密图像特征。为了消除随机性，实验所有的测试误差数据均为独立测试10次的平均值。

3.2 参数寻优

式(11)中参数α用于调节函数值域的变化速度，对代价优化的效果起到了重要作用，本节讨论其取值。将本文方法用于1 000幅增强后的载体图像Xc中嵌入秘密信息。嵌入率为0.3 bit/pixel与0.5 bit/pixel的条件下，不同α值下的测试误差PE如图2所示。

图2 不同α值下的测试误差PEFigure 2 Values of PE with different α

参数α取值越大表示对初始代价的调整幅度越大，调整幅度过大反而会降低隐写抗检测性。由图3可看出嵌入率0.3 bit/pixel与0.5 bit/pixel的情况下，测试误差PE均在α= 0.5时达到最大，即隐写抗检测性最好。因此参数α的取值定为0.5。

3.3 消融实验

本文方法在现有最小化加性失真隐写框架的基础上加入了载体增强与代价优化两个环节。为验证二者均能提高隐写抗检测性，本文首先采用HILL在1 000幅原始图像Xo中嵌入信息，记为“HILL-o”；之后采用HILL在1 000幅增强后的载体图像Xc中嵌入信息，记为“HILL-c”，即仅采用本文方法中的载体增强策略；最后采用经过代价优化的HILL在1 000幅增强载体Xc中嵌入信息，记为“HILL-p”，即同时采用本文方法中的载体增强与代价优化策略。三者在隐写分析特征SPAM与maxSRMd2检测下的抗检测性对比如图3所示。

由图3可看出HILL-c与HILL-p方案对应的PE值均高于HILL-o方案，大多数情况下HILL-p方案对应的PE值高于HILL-c方案。即在现有隐写方法HILL的基础上，本文方法中的载体增强与代价优化策略均能进一步提升隐写抗检测性。因此相比于直接采用现有隐写方法在原始NFT图像中嵌入信息，本文方法更适用于多样化的NFT图像。本文方法为除自然图像与生成图像以外的第3类载体（即NFT图像）提供了针对性的隐写方法。

图3 不同嵌入策略抗检测性对比Figure 3 Undetectability comparison of different embedding strategies against

3.4 抗检测性对比

本文方法的两个策略均提升了隐写抗检测性。图4与图5展示了本文方法与现有隐写方案的抗检测性对比，对应的具体数值如表1所示。MiPOD-o与DFEI-o表示分别采用MiPOD与DFEI在1 000幅原始图像Xo中嵌入信息，MiPOD-p与DFEI-p则分别表示采用经过代价优化的MiPOD与DFEI在1 000幅增强后的载体图像Xc中嵌入信息。

表1 隐写方法抗检测性对比数值（PE）Table 1 Undetectability comparison between steganographic schemes using PE

图4 本文方法与现有隐写方案抗检测性对比1Figure 4 Undetectability comparison between proposed method and existing steganographic schemes against 1

由图4与图5可看出，所有情况下本文方法对应的PE值均明显高于直接在NFT图像上使用HILL、MiPOD、DFEI隐写。例如，本文方法优化后的HILL，对嵌入率为0.3 bit/pixel的情况，在SPAM与maxWSRMd2特征下PE值分别提高了5.5%与11.1%；在TLBP与SCRMQ1特征下，分别提高了9.0%与14.0%。对MiPOD与0.3 bit/pixel情况，则在4个特征下分别提高了7.2%、9.1%、13.7%，以及19.4%。而对于针对增强图像设计的隐写方法DFEI，嵌入率为0.3 bit/pixel的情况在4个特征下分别提高了4.5%、7.5%、2.8%，以及12.3%。此外，可看出抗检测性的提升量与嵌入率呈正相关趋势。这是因为嵌入率低时PE值距离理论界限50%较近，提升空间小。

图5 本文方法与现有隐写方案抗检测性对比2Figure 5 Undetectability comparison between proposedmethod and existing steganographic schemes against 2

整体上看，对于HILL、MiPOD、DFEI隐写方案，本文方法可分别将PE值平均提升8.7%、9.2%，以及6.2%（所有嵌入率与隐写分析特征情况平均值）。因此本文方法应用于NFT图像时的抗检测性优于现有的数字图像隐写方案，即本文方法适用于NFT图像。

4 结束语

针对NFT图像，本文基于最小化加性失真框架提出了一种新的隐写方法。首先将原始NFT图像的高频与边缘轮廓部分进行增强，以得到更适合隐写的载体。增强操作不影响图像内容及其在元宇宙中的创作、交易、分享和收藏等正常使用。之后根据增强前后图像像素的差异对隐写失真代价函数进行优化。实验结果表明本文提出的载体增强与代价优化策略均能提升隐写抗检测性。应用于NFT图像时，本文方法的抗检测性优于直接使用现有的数字图像隐写方案。未来待NFT图像数量较为可观后，可充分利用神经网络强大的拟合与学习能力，设计深度学习的NFT图像隐写方法。

附录

定理在图像中添加参数分别为μ与σ2(σ> 0)的高斯噪声N(μ,σ2)后，图像的峰值信噪比为

证明已知高斯噪声N(μ,σ2)的概率密度函数f(x)为

则加入该噪声后，图像的均方误差（MSE，mean squared error）)为

其中，

则，

因此，图像的峰值信噪比为