Framework de busca guiada por hipóteses acelera descoberta de PII em bancos SQLite móveis
Pesquisadores propõem um agente que trata a localização de dados pessoais (PII) em bancos SQLite de aplicativos móveis como um problema de busca adaptativa sob incerteza, em vez de varredura exaustiva de todas as tabelas e colunas. Testado no corpus CTF da Cellebrite, com 25 bancos de 10 apps Android e iOS, o método reduziu o espaço de busca em quase 80% mantendo F1 de 94,5% com o Gemini 2.5 Pro, mas mostrou variação relevante entre os 12 modelos avaliados.
O artigo, publicado no arXiv, ataca um problema recorrente na perícia de dispositivos móveis: descobrir onde exatamente ficam armazenados dados pessoais (e-mails, telefones, nomes, endereços, domínios) dentro de bancos SQLite de aplicativos que não seguem nenhum esquema documentado ou padronizado. Como esses valores podem estar em colunas dedicadas ou embutidos em campos de texto livre, a abordagem tradicional é inspecionar exaustivamente tabela por tabela, o que não escala quando o perito precisa processar dezenas de aplicativos em uma extração.
A solução proposta separa o processo em dois estágios. Primeiro, um agente faz uma exploração leve: ele ranqueia regiões candidatas (pares tabela-coluna), sonda uma amostra de valores e mantém uma memória de evidências e níveis de confiança acumulados, refinando hipóteses sobre onde é mais provável encontrar PII a cada rodada. Só depois, nas regiões que acumularam evidência suficiente, entra a extração direcionada, com normalização e deduplicação dos valores encontrados — evitando o custo de inspecionar exaustivamente regiões pouco promissoras.
Os resultados foram medidos contra um conjunto de verdade fundamental com 3.751 entidades distintas, extraídas de bancos reais de aplicativos Android e iOS do corpus de CTF da Cellebrite. O melhor backend testado (Gemini 2.5 Pro) atingiu 94,5% de F1 reduzindo em 79,9% o espaço de busca necessário em relação a uma varredura completa. Ao mesmo tempo, o desempenho variou de forma substancial entre os 12 modelos avaliados, indicando que a técnica é sensível à capacidade do modelo de linguagem usado como back-end do agente.
Para a rotina pericial, o valor prático está em acelerar a triagem inicial de PII em extrações móveis volumosas — um cenário comum em casos de vazamento de dados, e-discovery e investigações que envolvem múltiplos aplicativos de mensageria ou redes sociais com schemas proprietários. Ainda assim, a dependência do modelo de linguagem escolhido e o caráter probabilístico da busca reforçam que esse tipo de ferramenta serve para priorizar e reduzir o volume a ser revisado, não para substituir a validação humana antes de qualquer achado ser tratado como evidência.