Dowodliwie bezpieczna steganografia nad własnym kanałem generatywnym
Cztery kierunki, w których bezpieczeństwo steganograficzne redukuje się do wierności samplera, nie do wyścigu zbrojeń z detektorami — z opublikowanym wynikiem negatywnym o klasycznej stego obrazowej.
Koch Laboratory — dowodliwie bezpieczna steganografia nad własnym kanałem generatywnym
Ten kierunek bierze steganografię z innej strony niż klasyczne ukrywanie w gotowych plikach (LSB/DCT w obrazie), które nowoczesna steganaliza CNN dziś wygrywa. Punktem wyjścia jest model Hoppera–Langforda–von Ahna: steganografia bezpieczna kryptograficznie istnieje, gdy dysponuje się wiernym samplerem rozkładu kanału. Jeśli sam jesteś właścicielem generatora (generatywne audio; deterministyczny renderer dokumentów), masz sampler — więc bezpieczeństwo redukuje się do wierności modelu kanału, nie do wyścigu zbrojeń z detektorem. Kluczowa obserwacja graniczna: deterministyczny renderer ma zerową pojemność wobec przeciwnika znającego generator — nośnikiem nie jest determinizm, lecz kluczowany niedeterminizm: zbiór renderowo-niezmienniczych, legalnych wyborów, które generator i tak podejmuje, sterowany szyfrogramem zamiast losowością.
Metodyka. Jak w reszcie laboratorium: problem → hipoteza → falsyfikowalne kryterium → metoda → wynik z warunkami brzegowymi. Z jednym wyróżnikiem: wynik negatywny bywa mocniejszy od pozytywnego, bo rozstrzyga żywotność kanału, zanim zapisze się choć jeden bit ładunku.
1. Test rozstrzygający: czy nośnik ma obronny kanał?
Pytanie badawcze. Zanim schowamy cokolwiek: czy „naturalne” wyjście mojego generatora (z losowym rozstrzyganiem remisów) jest odróżnialne od korpusu realnych plików deklarujących ten sam toolchain/producent? Jeśli tak — kanał jest martwy niezależnie od kryptografii. Dlaczego to trudne. Bezpieczeństwo jest względne wobec konkretnego profilu producenta, nie „plików w ogóle”. Generator musi być nieodróżnialny od rozkładu wyjścia nazwanego toolchainu, za który się podszywa. Pułapka determinizmu: jeśli podszywany silnik rozstrzyga remisy deterministycznie, „wolny wybór” nie istnieje w rozkładzie celu. Metoda. Klasyfikator (gradient boosting na cechach strukturalnych + bajtowy CNN) oraz test dwupróbkowy (C2ST / MMD) „natural-G vs korpus-producenta”. Test kontrolny: to samo bez ładunku (losowy tie-break vs korpus) — oddziela porażkę modelu kanału od porażki stego. Kryterium sukcesu (asymetryczne). AUC ≈ 1 falsyfikuje kanał (twardo). AUC ≈ 0,5 nie dowodzi bezpieczeństwa — jedynie „nieodróżnialne wobec klasy przeciwnika A przy budżecie próbek B”. Wynik uogólnialny w obie strony. Status: prace projektowe (eksperyment bazowy nieuruchomiony).
2. Kierunek 1 — niewykrywalny kanał nad generatywnym audio
Pytanie badawcze. Jaka jest realna przepustowość bezpiecznego osadzania nad samplerem generatywnego audio i jak wymienia się ona na wierność samplera? Dlaczego to trudne. Kompromis przepustowość↔wierność nie jest znany z góry; audio to jednak genuinny sampler wysokiej entropii, bez pułapki determinizmu — czysty przypadek HLvA. Stan techniki (publikowany). HLvA (CRYPTO 2002); Meteor (CCS 2021) — stego nad wyjściem LLM; iMEC (ICLR 2023) — perfekcyjne bezpieczeństwo ⟺ coupling, optymalna pojemność ⟺ minimum-entropy coupling (to kolapsuje pytanie kryptograficzne do wierności kanału); Discop (IEEE S&P 2023) — praktyczny, ~0,95 limitu. Kryterium sukcesu. Nieodróżnialność wobec klasy przeciwnika A przy budżecie B; zmierzona przepustowość R bit/jednostkę przy wierności ε — jako testowalna własność. Konstrukcja (punkty decyzyjne kanału, koszty zniekształcenia, integracja kluczowanego próbkowania): wstrzymana (otwarta opcja patentowa). Status: prace projektowe.
3. Kierunek 2 — per-odbiorca znak wodny generowanych dokumentów
Pytanie badawcze. Czy da się osadzić niewidoczny, per-odbiorca znak w generowanym dokumencie („kto wyciekł”), gdy detekcję kontroluje wydawca?
Dlaczego to trudne — i rdzeń tematu. Niewykrywalność chce perturbacji podprogowych; odporność (re-save Ghostscript, print-to-PDF, a nawet print-scan-OCR) chce nadprogowych — cele się wykluczają. Ta krzywa kompromisu jest właściwym wynikiem publikowalnym. Do tego pułapka determinizmu: w deterministycznym PDF „wolna entropia” mikrotypografii jest wolna tylko wobec przeciwnika, który nie odtworzy toolchainu — obronniejsza jest struktura rewizji (realne dokumenty mają niepodrabialną historię edycji).
Napięcie pojemność↔zmowa (ilościowo). Sam indeks odbiorcy = log₂(N) bitów (~14 dla 10⁴) — mieści się. Odporność na zmowę (kody Tardosa / Boneh–Shaw) = O(c²·log(N/ε)) → rzędu 10⁵–10⁶ bitów → nie mieści się w krótkim dokumencie. Granica projektu, nie detal.
Stan techniki (publikowany). Syndrome-trellis codes (min-zniekształcenie, TIFS 2011); Tardos (STOC 2003) i Boneh–Shaw (CRYPTO 1995) — kody odporne na zmowę; Brassil–Low–Maxemchuk — znak przeżywający druk. Konstrukcja (powierzchnia osadzania, koszt zniekształcenia per wybór, warstwa odcisku per-odbiorca): wstrzymana (otwarta opcja patentowa — kierunek wskazany jako wrażliwy). Rozgałęzienie: wariant tylko-cyfrowy (przeżywa re-save) i fizyczny (przeżywa print-scan) mają różne modele zagrożeń. Status: prace projektowe.
4. Wynik negatywny (publikowany): generyczna stego obrazowa
Teza. Klasyczne osadzanie w gotowym obrazie (LSB, DCT) jest przegrane: steganaliza CNN wykrywa dziś większość klasycznych osadzeń, a atakujący ma strukturalną przewagę w wyścigu cat-and-mouse. Laboratorium świadomie tego nie prowadzi jako rdzenia — wartość ma tylko stego nad kanałem, którego jest się właścicielem (kier. 1–2). Dlaczego publikujemy negatyw. To decyzja zakresowa uzasadniona wprost: pokazuje, gdzie przeciwnik ma przewagę i dlaczego przeramowanie na model HLvA jest jedyną obronną drogą. Status: zamknięte (wynik negatywny, publikowany).