精读笔记
Problem Setting
这篇论文解决的是 3DGS 场景级隐写的泛化问题：给定未见过的 cover scene 和 secret scene，直接生成一个看起来像 cover、但可恢复 secret 的 stego 3DGS，而不为每个场景对重新优化。
关键困难在于 payload 不是 bit string，而是完整 3D scene：它包含几何、颜色、opacity、rotation 等高维结构，并且最终要经过 differentiable rasterization 在多视角下同时满足 cover fidelity 和 secret recoverability。以前方法卡在 scene-specific optimization：它们可以在固定场景对上把秘密塞进去，但模型参数本身记住了这对场景的隐写方式，换场景就要重训。
这个任务的核心矛盾是：隐写要求 stego 与 cover 尽可能接近，恢复要求 stego 内部携带足够多 secret 信息；而 3DGS 的原生表示又是 unordered、variable-size、scene-dependent 的，使得直接学习一个跨场景嵌入函数很不自然。
Motivation
已有路线不够的根本原因不是容量不足，而是表示与学习范式不匹配。3DGS primitive 本身没有稳定的空间索引，跨场景 primitive 数量和分布变化大，导致 encoder 很容易退化成针对固定场景的优化器，而不是学到可迁移的隐写规则。
作者的核心观察是：如果能把 3DGS 变成类似 image-based rendering 中的 pixel-aligned attribute representation，那么隐写问题就从“在无序 3D 点集里藏结构”变成“在规则 2D 属性图里学习可逆/半可逆扰动”。这使得 2D CNN 的局部归纳偏置、残差建模和跨样本共享能力可以被直接利用。
关键缺口是一个 scene-independent 的 3DGS steganography interface：既要保留 3DGS 可渲染属性，又要把输入规范化成神经网络容易泛化的固定结构。GAM 正是这个接口。
Core Idea
论文真正核心的思想是把 3DGS 隐写从 per-scene parameter optimization 改成 GAM-domain feed-forward attribute embedding。cover 和 secret 先被映射到 Gaussian Attribute Maps，GAS 学习把 secret 的属性信息注入 cover 的属性图中，输出 stego GAM，再通过确定性的 inverse mapping 还原成 stego 3DGS；decoder 则从 stego GAM 恢复 secret GAM。
这个想法成立的直觉是：GAM 给每个 Gaussian 一个稳定的 pixel coordinate，相当于为 3DGS primitive 建立 canonical ordering。这样模型不再需要在无序点云/高斯集合上推断对应关系，而是在对齐的 2D lattice 上学习属性残差。它引入的 inductive bias 是 representation alignment：跨场景共享的不是某个具体几何，而是“哪些属性扰动在渲染上不显著、但对 decoder 可读”。
与 prior 的本质区别在于，GS-Hider/SecureGS 更像对固定场景 pair 学一个隐写解；IBRSteG 则试图学一个场景分布上的隐写算子。它更 scalable 的原因不是隐写理论更强，而是把场景特异性从训练时优化中剥离，转移到 frozen reconstruction backbone 和 GAM canonicalization 中。
Method
1. GAM 表示：它解决的是 3DGS primitive 无序、变长、跨场景不可直接对齐的问题。每个 pixel 对应一个 Gaussian primitive，属性包括 depth、color、rotation、opacity。核心变化是把 3DGS 从 set-like representation 变成 image-like representation。
2. GAS 前向嵌入/恢复：它解决的是 per-scene retraining 问题。encoder 输入 cover/secret GAM，输出 stego GAM；decoder 输入 stego GAM，输出 recovered secret GAM。真正重要的是共享参数跨场景工作，而不是 U-Net 或多层卷积本身。
3. Cover-preserving residual embedding：深度等属性采用偏向 cover 的残差式预测，解决 stego 可见质量容易崩的问题。这里的机制是让模型学习“最小必要扰动”，而不是重新生成一个场景。
4. Rendering-level + attribute-level supervision：3D rendering loss 保证最终多视角渲染接近目标，GAM loss 约束中间属性空间不要漂移。前者是收敛和视觉质量的主约束；后者更像 regularizer，论文 ablation 也显示其增益较小。
5. Camera parameters as key：文中把 GAM 到 3DGS 的 inverse mapping 依赖相机参数，称其为 compact geometric key。这个设计有一定安全含义，但更像 pipeline 必需条件，不应过度解读为强密码学安全。
Key Insight / Why It Works
最核心的有效性来源是 representation alignment，而不是 steganography architecture。GAM 把 3DGS 的自由度重新组织成固定网格属性，使得模型可以在同一拓扑上学习 cover-preserving perturbation 和 secret-recoverable coding。这比直接操作 Gaussian set 更容易泛化，因为对应关系已经由 backbone 和 camera geometry 处理掉了。
第二个关键点是任务被拆成两个较容易的子问题：GPS-Gaussian+ 负责把 sparse/multi-view observations 转成可控的 pixel-aligned 3DGS 属性；GAS 只需在这个属性空间里做信息注入。这意味着论文的“泛化”很大程度依赖前置 reconstruction model 的泛化。IBRSteG 自身不一定学到了通用 3D scene understanding，它更可能学到了在 GAM manifold 附近进行隐写扰动的规则。
最可能的核心贡献是 GAM-domain scene-agnostic steganographic operator。多头输出、instance norm、U-Net backbone、2D loss 等属于辅助工程。高容量多 secret 的 channel indexing 也更像 engineering scaling：通过扩大输出通道/解码头来分配 payload，而不是提出新的容量理论。
增益来源仍不完全清楚。相较 naive 2D steganography baseline，IBRSteG 的优势可能来自更适配 GAM 属性结构的网络/损失，也可能来自和 GPS-Gaussian+ pipeline 更紧密的 representation coupling。文中未充分说明不同属性、不同 loss、不同 backbone 对泛化的独立贡献。
安全性 claim 需要谨慎。StegExpose 和 Zhu-Net 主要检验 rendered image distribution，不能充分覆盖直接访问 3DGS 参数的攻击者。3D attribute statistics 的简单阈值检测失败，只能说明 naive detector 不行，不能说明没有可学习的 3DGS-domain stego signature。
Relation To Prior Work
最接近的路线是 3DGS scene steganography，如 GS-Hider、SecureGS、KeySS，以及 NeRF/3DGS watermarking/steganography 的 rendered-view decoder 方法。IBRSteG 与它们的本质差异是训练范式：prior 多数把隐写看作固定场景的优化问题，IBRSteG 把它看作跨场景分布上的前向函数学习问题。
与 2D image/video steganography 的关系也很直接：GAM 让 3DGS 隐写重新落回 2D grid，从而继承图像隐写中 encoder-decoder、残差隐藏、多通道 payload 的思想。看似新的部分中，U-Net hide-and-reveal 并不新；真正新增的信息是如何把 3DGS 属性 canonicalize 成可隐写的 structured 2D carrier。
与 generalizable 3DGS reconstruction 的关系更深。IBRSteG 实际站在 GPS-Gaussian+ 这类 pixel-wise 3DGS 表示之上，把 reconstruction representation 复用为 steganographic representation。它属于“representation-mediated generalization”谱系：不是在原任务空间强行泛化，而是先找一个对学习友好的中间表示。
Dataset / Evaluation
评估覆盖了人体现实场景、动态/多视角数据和 DTU 非人体室内场景，基本能支持“比 scene-specific 更可部署、比 naive 2D migration 更有效”的经验性 claim。尤其 DTU 的加入很重要，因为否则方法可能只是在 human-centric GPS-Gaussian+ 分布内工作。
但 evaluation 对核心 claim 的验证仍有限。所谓 generalization 主要是在同一 reconstruction backbone、相近输入协议、有限数据集上的跨 scene generalization；它没有证明对大规模 outdoor、复杂非 Lambertian、透明/反射、多层结构或不同 3DGS 生成 pipeline 的泛化。
安全性评估偏弱。StegExpose 是传统图像检测器，Zhu-Net 也只在 rendered image 上做 steganalysis；3D attribute-domain 只做了简单统计阈值。若攻击者能直接拿到 stego 3DGS 参数，训练专门的 3DGS steganalyzer，结论可能不同。
高容量实验有价值，但更像压力测试。2 到 3 个 secret 仍表现良好，4 到 5 个开始明显退化，说明方法有实际容量边界。文中没有给出容量与 GAM channel、attribute entropy、rendering distortion 之间的机制性分析。
Limitation
第一，方法成立依赖 pixel-aligned GAM 假设：每个 pixel 对应一个 surface Gaussian，且属性图能充分表达场景。这对人体/室内表面相对合理，但对多层几何、透明物体、薄结构、复杂遮挡和大规模场景不一定成立。
第二，泛化能力很大程度继承自 frozen GPS-Gaussian+。如果 backbone 在某 domain 上重建差，GAS 没有能力恢复不存在或错误编码的几何信息。论文把 scene-specific optimization 的问题转移成了 backbone representation quality 的问题。
第三，安全性没有达到强隐写意义上的证明。当前只说明常见 2D detector 和简单 3D statistics 不容易检测；文中未充分说明面对 white-box pipeline、已知 GAM mapping、已知训练分布或大量 stego 3DGS 样本时的安全性。
第四，增益归因不清。GAM、GAS architecture、loss design、training data coverage、GPS-Gaussian+ prior 都可能贡献性能，但实验没有充分拆开。部分提升可能主要来自 representation alignment 和数据覆盖，而不是隐写机制本身的突破。
第五，容量扩展更像 channel scaling。多 secret 通过预定义 channel segment 解码，实际是在输出空间分配多个 payload slot；这是否能随 secret 数量稳定扩展，是否会形成可检测的 attribute signature，文中没有回答。
Takeaway
- 1. 这篇最值得记住的是：3DGS 隐写要泛化，关键不是更复杂的隐写网络，而是先把 3DGS 变成可对齐、可卷积、可跨场景共享的中间表示。
- 2. GAM 是一个有迁移价值的设计：它把 unordered 3D primitives 变成 structured attribute maps，这种 representation alignment 思路可迁移到 3D watermarking、editing、compression、forensics 等任务。
- 3. IBRSteG 推动了 3D scene steganography 从 optimization-based per-instance 方法向 feed-forward distribution-level 方法演化，但它还不是强安全或强泛化的最终形态。
- 4. 后续真正值得做的是 dedicated 3DGS steganalysis、backbone-agnostic GAM/attribute representation、容量-失真-可检测性的理论分析，以及在更开放 3D scene distribution 上验证。
一句话总结
IBRSteG 是一篇把 3DGS 场景隐写从场景特定优化推进到 GAM 表示驱动的跨场景前向嵌入的工作，真正贡献在于 representation alignment 带来的泛化隐写算子，而非具体网络模块本身。