基于直接和抢先式对抗攻击的量化步骤估计的反取证技术

《Engineering Applications of Artificial Intelligence》：Anti-forensic for quantization steps estimation based on direct and preemptive adversarial attacks

　　张家伟|王梦杰|吴浩|程欣|罗向阳|马斌|王浩|王金伟
重庆邮电大学，重庆，400065，中国

**摘要**
联合图像专家组（JPEG）量化步长估计旨在揭示图像的压缩历史，这可以作为支持取证的重要组件和强大技术。如今，已经提出了多种基于深度学习的估计方法来提高准确性。然而，由于这些方法假设了理想的安全估计条件，它们对故意攻击（特别是对抗性攻击）的鲁棒性尚未得到充分研究，这对它们的可靠性构成了重大威胁。为了解决这个问题，我们首次研究了基于深度学习的估计方法对抗对抗性攻击的鲁棒性，这种攻击可以在不引起明显失真的情况下显著降低估计准确性。具体来说，我们引入了一个基于生成的对抗性攻击框架，并提出了两种反取证攻击类型：直接攻击（DA）和预防性攻击（PA），用于在双重压缩和单次压缩图像上制造对抗性样本。为了最大化攻击能力，我们研究了回归和分类目标对对抗性属性的影响，并设计了一个联合损失函数以实现稳定和平滑的优化。广泛的实验表明，所提出的DA和PA能够在低扰动幅度下实现高攻击能力，并保持令人满意的视觉质量。更重要的是，生成的对抗性样本在不同估计模型和数据集之间具有出色的迁移性，这证明了所提出方法的通用性，同时也揭示了现有基于深度学习的估计方法对抗对抗性样本的脆弱性。我们的代码将很快公开发布。

**引言**
随着编辑和篡改技术的发展，被篡改的图像对数字图像的可信度构成了巨大威胁。由于大多数数字图像（以及被篡改的图像）都以JPEG格式保存以节省内存，JPEG压缩留下的痕迹可以作为取证分析的有效证据。因此，已经有很多研究致力于JPEG压缩检测（Niu等人，2021a；Wang等人，2021；Wang等人，2023），以判断图像是否被压缩。更重要的是，除了JPEG压缩检测之外，还有新兴的研究致力于更具有挑战性的任务——量化步长估计，该任务可以通过揭示压缩图像的量化表来定位被篡改的区域（Niu等人，2021b）。如图1所示，如果一个图像区域的压缩历史与其他图像区域不同，那么这个图像就可以被判断为被篡改的图像，而这个区域就是被篡改的区域。最近，为了进一步提高估计性能，通过引入端到端深度神经网络（DNN），提出了基于深度学习的量化步长估计方法（Niu等人，2020；Tondi等人，2021；Cheng等人，2024b；Cheng等人，2024a）。然而，与关于JPEG压缩检测的丰富而彻底的反取证研究相比（Stamm和Liu，2011；Luo等人，2018；Wu等人，2021；Xie等人，2021；Kadha和Das，2024），这些量化步长估计方法对抗反取证的鲁棒性尚未得到研究，这降低了这些方法及其后续取证的可靠性和安全性。此外，现有的关于JPEG压缩检测的反取证方法旨在欺骗二进制取证模型，而不适用于欺骗属于多元回归的量化步长估计。

因此，在本文中，我们研究了基于深度学习的量化步长估计方法的鲁棒性，并基于对抗性攻击策略设计了一个反取证框架，据我们所知，这是首次进行此类研究。与现有JPEG压缩反取证方法中使用的图像恢复策略不同，对抗性攻击策略可以通过引入不可察觉的扰动来更好地误导量化步长估计器。具体来说，如图1所示，我们根据不同的场景提出了两种对抗性攻击：直接攻击（DA）和预防性攻击（PA）。DA旨在计算并向双重压缩图像添加对抗性扰动，使目标模型无法估计第一次JPEG压缩的量化步长。相比之下，PA考虑了更具挑战性的场景，旨在计算并向单次压缩图像添加对抗性扰动。即使经过第二次JPEG压缩后，这些图像仍然可以误导目标模型无法估计第一次压缩的量化步长。为了实现DA和PA，我们提出了一个基于生成的对抗性攻击框架，通过在生成器和鉴别器之间进行最小-最大游戏来实现，该框架不受训练后估计模型的结构和参数的影响。

为了进一步提高PA和DA的攻击能力，我们研究了传统对抗性攻击中简单优化目标对估计任务带来的困境。具体来说，通过分析每个质量因子（QF）上的性能，我们观察到使用单一损失函数进行训练会导致模型陷入局部最优，这不可避免地将最大攻击成功率限制在90%以下。因此，为了摆脱这一上限，我们设计了一个联合损失函数以实现稳定和平滑的优化，通过超参数权重调整来缓解回归和分类之间的权衡。结果表明，使用这种联合损失函数优化的DA和PA具有更好的对抗性属性，扰动幅度更低，攻击成功率从低于90%提高到了超过97%。与直接利用现有的对抗性攻击进行量化步长估计相比，我们的DA和PA能够在更小的扰动幅度下实现更高的攻击成功率，并保持更高的视觉质量。此外，现有的反取证方法通常作用于最终图像。相比之下，我们的PA引入了一种新的威胁模型，在第二次JPEG压缩之前发起攻击。这揭示了之前方法未能暴露的取证工作流程中的关键脆弱性。更重要的是，我们生成的对抗性样本在不同数据集和基于深度学习的估计模型之间具有出色的迁移性，甚至可以转移到传统的估计方法中。这证明了我们的方法捕捉到了量化估计中特征提取的内在脆弱性，而不仅仅是过度拟合特定的模型架构。

**主要贡献**
据我们所知，我们是第一个提出对抗性攻击来设计反取证方案并研究基于深度学习的量化步长估计方法鲁棒性的团队。
我们提出了两种对抗性攻击（DA和PA），分别旨在通过计算并向双重压缩和单次压缩图像添加扰动来欺骗目标估计模型。
我们设计了一个联合损失函数以实现稳定优化，通过超参数权重调整进一步提高了攻击能力。

**部分摘要**
JPEG量化步长估计旨在预测JPEG压缩图像中量化表内的每个值，这可以进一步分为传统估计方法和基于深度学习的估计方法。传统估计方法利用DCT系数的特性来预测量化步长（Yang等人，2015；Lin等人，2011）。例如，Luo等人（2010）对解压缩图像的DCT系数进行了舍入并取了绝对值。

**问题定义**
在本节中，我们提出了一种基于GAN的新颖反取证攻击方法，用于生成具有高攻击能力和不可察觉性的对抗性样本，以欺骗量化步长估计网络。形式上，设x为原始图像，xn?1和xn分别为经过n?1次和n次JPEG压缩的压缩图像。Qn?1的大小为8 × 8，用于第（n?1）次压缩，Qn用于第n次压缩。

**损失函数**
**生成器损失**。在训练过程中，优化生成器的损失旨在确保生成的样本在能够欺骗鉴别器和目标估计网络的同时保持高视觉质量。因此，生成器的总损失LG包括三个部分：鉴别损失Lind、视觉质量损失Lvis和估计损失Lest，可以定义为：
LG = Lind + λ1Lvis + Lest，
其中λ1是视觉质量损失Lvis的权重。

**不可区分性损失**

**实验设置**
**数据集和设置**。除了第5.3节中的数据集迁移实验外，其他实验均在未压缩彩色图像数据库（UCID）（Schaefer和Stich，2003）上进行。该数据库包含1338张分辨率为512 × 384或384 × 512的图像，所有图像均以BMP格式存储。我们从该数据库中随机选取1000张图像来构建我们的数据集。

**讨论**
当前框架的一个局限性在于通过网格搜索手动选择损失权重。虽然实证结果验证了这些参数在标准数据集上的有效性，但将这些超参数直接应用于差异较大的领域可能需要进行重新调整。为了解决这个问题，未来的工作将探索自适应权重调整机制，例如利用基于不确定性的多任务学习（Kendall等人，2018）来自动学习最佳平衡。

**结论**
在本文中，我们首次提出了一种新颖的反取证方法，可以生成对抗性扰动来欺骗当前的JPEG量化步长估计模型。具体来说，根据不同的场景，我们提出了两种对抗性攻击：DA和PA。通过研究单一损失函数的困境，我们引入了一个联合损失函数和基于生成的对抗性攻击框架以实现稳定和平滑的优化。广泛的实验结果表明，所提出的方法具有出色的攻击能力。

**作者贡献声明**
张家伟：撰写——原始草稿、形式分析、数据管理、概念化。
王梦杰：撰写——审阅与编辑、方法论、数据管理、概念化。
吴浩：撰写——审阅与编辑、资源管理、方法论。
程欣：验证、软件管理、数据管理。
罗向阳：撰写——审阅与编辑、监督、项目管理。
马斌：撰写——审阅与编辑、调查。
王浩：撰写——审阅与编辑、可视化、监督。
王金伟：

**利益冲突声明**
作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：张家伟报告称获得了国家自然科学基金的支持。如果还有其他作者，他们声明没有已知的财务利益或个人关系可能影响本文报告的工作。

**致谢**
本工作得到了国家自然科学基金（62472229、U24B20179、U23A20305、U23B2022、62371145、62272255、62302248、62221005）、全成实验室研究项目（QCL20250203）、河南省创新科学家和技术人员队伍建设项目（254000510007）以及重庆市教育委员会科学技术研究计划（KJQN202500649）的支持。
张家伟于2024年在南京信息科学与技术大学获得信息安全博士学位。他是重庆邮电大学网络安全与信息法学院的讲师，研究兴趣包括多媒体安全和深度学习安全。