Em setembro de 2025, quando o tema ainda soava a alguns como especulação acadêmica, escreveu-se nesta ConJur que o prompt injection era fraude processual em chave algorítmica e ameaça direta à integridade do processo (Badaró, 2025). Em 12 de maio de 2026, a 3ª Vara do Trabalho de Parauapebas identificou, em petição inicial, comando redigido em fonte branca sobre fundo branco, invisível ao leitor humano, ordenando ao sistema de inteligência artificial da Justiça do Trabalho que contestasse a peça de forma superficial e não impugnasse os documentos (Brasil, 2026). A ferramenta Galileu detectou a manipulação, o juízo reconheceu ato atentatório à dignidade da justiça e impôs às advogadas subscritoras multa solidária de 10% sobre o valor da causa, com ofícios à OAB/PA e à Corregedoria do Regional (Cicco e Coura, 2026).
Dias depois, o Superior Tribunal de Justiça informou ter identificado, em seu próprio acervo, petições contendo comandos ocultos dirigidos ao STJ Logos, neutralizados pelas camadas de segurança do sistema. O presidente da Corte, ministro Herman Benjamin, determinou a abertura de inquérito e de procedimento administrativo, anunciando o mapeamento de todas as tentativas para aplicação de sanções processuais e apuração de responsabilidades (Brasil, 2026b).
Em 27 de maio de 2026, o Comitê Nacional de Inteligência Artificial do Judiciário aprovou a Manifestação Técnica Cniaj nº 1/2026 e, em 9 de junho, o Plenário do Conselho Nacional de Justiça a ratificou integralmente por unanimidade, convertendo-a em Nota Técnica dirigida a todos os tribunais e conselhos (Brasil, 2026c).
O que é, e o que não é
O prompt injection consiste na inserção deliberada de instruções em documentos, arquivos ou outras entradas processadas por sistemas de IA, com a finalidade de subverter o comportamento do modelo. A Owasp classifica a injeção de comandos como o principal risco de segurança em aplicações baseadas em grandes modelos de linguagem.
A confabulação (alucinação) de IA, como a citação de precedentes inexistentes, decorre de limitação do modelo e revela, do lado do advogado que a protocola sem conferência, negligência no dever de verificação. O prompt injection é outra coisa. Não há erro; há ataque. A conduta é inerentemente dolosa, pois pressupõe conhecer a existência do sistema, o modo como ele lê documentos e a técnica de ocultação. Quem esconde um comando em fonte branca não tropeça: mira.
Tipologia dos vetores: do texto invisível ao áudio inaudível
A literatura técnica distingue a injeção direta, em que o próprio usuário do sistema insere a instrução maliciosa, da injeção indireta, em que o comando viaja embutido em conteúdo de terceiros que o sistema processa. No contexto judicial, o vetor típico é o indireto: a peça processual, o anexo, o metadado. O repertório documentado inclui texto na cor do fundo, fontes de tamanho microscópico, texto transparente ou sobrepostovyk e trechos posicionados fora da área visível da página (Rondônia, 2026).
A pesquisa pioneira de Bagdasaryan e colaboradores demonstrou, ainda em 2023, a viabilidade de injeção indireta de instruções por meio de imagens e de sons, mediante perturbações adversariais imperceptíveis ao ser humano, mas plenamente interpretáveis pelo modelo (Bagdasaryan, 2023). Pesquisas mais recentes reportam ataques por áudio com perturbações imperceptíveis, que permanecem benignas ao ouvinte humano, eficazes inclusive quando o som é reproduzido por alto-falante em ambiente físico e captado por microfone (Kijm et al). O vídeo, por combinar sequência de quadros e trilha sonora, herda ambos os vetores.
Tribunais processam volumes cada vez maiores de provas audiovisuais, audiências gravadas, depoimentos em vídeo e transcrições automáticas de áudio. Um sistema que transcreve, resume ou classifica esse material está exposto aos mesmos riscos do sistema que lê petições.
Enquadramento jurídico
No plano processual civil, a conduta viola frontalmente o artigo 5º do CPC, que erige a boa-fé em norma fundamental do sistema. Pode configurar litigância de má-fé, nas hipóteses do artigo 80, incisos II, III e V. Pode configurar, ainda, ato atentatório à dignidade da justiça, nos termos do artigo 77, na medida em que o ataque transcende o dano à parte contrária e atinge a própria função jurisdicional, com paralelo evidente no contempt of court da tradição anglo-saxônica. Em sua forma mais grave, a inserção de comandos ocultos pode amoldar-se, em tese, ao crime de fraude processual do artigo 347 do Código Penal, por inovação artificiosa do estado de coisa, aqui o documento juntado aos autos, com o fim de induzir o juiz a erro.
A experiência internacional converge. A orientação judicial da Inglaterra e do País de Gales, atualizada em outubro de 2025, alerta magistrados para o chamado white text, o texto oculto legível pela máquina e invisível ao leitor, e o Civil Justice Council identificou expressamente o risco no uso de IA para a preparação de documentos judiciais (Reino Unido, 2025). A integridade dos autos passa a abranger também a higidez funcional da peça enquanto entrada computacional.
Análise adversarial: objeções que merecem resposta
A primeira objeção sustenta que a supervisão humana bastaria: se a decisão permanece do juiz, o comando oculto seria inócuo. Ainda assim, a manipulação não opera no ato de julgar, e sim na função de apoio: um resumo contaminado, uma triagem distorcida, uma omissão de argumento relevante podem parecer formalmente imparciais e, mesmo assim, deslocar a organização cognitiva do feito antes de qualquer deliberação.
A segunda objeção é dogmática e não pode ser desprezada: o artigo 77, § 6º, do CPC veda a aplicação da multa dos §§ 2º a 5º aos advogados, remetendo sua responsabilidade à OAB ou à corregedoria competente. A sentença de Parauapebas, que aplicou a multa diretamente às advogadas, construiu exceção teleológica: a inserção de comando oculto destinado a sabotar sistema institucional não integraria o exercício da postulação e, por isso, escaparia à proteção do dispositivo. A leitura é defensável, mas opera em terreno sensível, e a divergência doutrinária já se instalou. O ponto pede prudência: a punição do ilícito não deve ser feita ao custo da erosão de garantia profissional, e o caminho mais seguro, em muitos casos, será a combinação de sanção à parte, quando cabível, com remessa qualificada aos órgãos disciplinares e ao Ministério Público, tudo devidamente certificado nos autos.
A terceira objeção invoca a tentativa frustrada: se o sistema detectou e bloqueou o comando, onde está o dano? A resposta está na natureza pública dos deveres processuais. A litigância de má-fé e o ato atentatório não tutelam apenas o interesse da parte adversa, mas a dignidade da função jurisdicional, e se aperfeiçoam com a conduta, não com o resultado. Ninguém sustentaria a atipicidade da falsidade documental descoberta pelo perito. A segurança adversarial não é favor institucional; é pressuposto de legitimidade do próprio uso da tecnologia.
A quarta objeção alerta para o risco de falsos positivos e de tecnofobia. Nem todo texto oculto é ataque: artefatos de editoração, camadas residuais de conversão de arquivos e metadados automáticos existem aos milhares. Por isso a distinção entre o uso negligente e a manipulação dolosa é o primeiro dever do magistrado diante do achado, e a cautela sugerida pelo CIJMG, de proferir despacho indagando à parte sobre a existência do conteúdo antes de sancionar, além de atender à exigência de prévia advertência do artigo 77, § 1º, do CPC, protege o processo contra a punição do inocente (Minas Gerais, 2026). A resposta jurídica, enfim, não deve ser tecnofóbica. O que se repudia não é o uso de IA na advocacia ou na jurisdição, mas a utilização clandestina da peça processual como vetor de ataque à infraestrutura da jurisdição.
O que os tribunais e conselhos podem fazer
A Nota Técnica aprovada pelo Plenário do CNJ organiza a resposta em três camadas complementares, e vale sintetizá-las porque constituem, hoje, o parâmetro nacional (Brasil, 2026c).
A primeira camada é a ingestão segura dos documentos. Os autos, anexos, metadados, textos extraídos por OCR e bases externas devem ser tratados como dados não confiáveis, devidamente encapsulados e identificados antes de apresentados ao modelo. Recomenda-se a preservação de metadados visuais e estruturais, como tamanho e cor da fonte, contraste, opacidade, camada e posição na página, e a separação entre o texto canônico visível, que serve de base ao processamento, e o conteúdo suspeito ou anômalo, que deve ser segregado, preservado e registrado em trilha auditável, jamais descartado em silêncio, pois constitui a própria prova da tentativa de manipulação.
A segunda camada é o tratamento da saída. A filtragem determinística deve bloquear ou sinalizar respostas que contenham credenciais, dados protegidos por segredo de justiça, trechos do prompt institucional ou expressões incompatíveis com a finalidade declarada da ferramenta; sistemas de sumarização e triagem não devem produzir saídas com aparência de decisão judicial. Somam-se os contratos de resposta, formatos previamente definidos que vinculam as afirmações relevantes a evidências extraídas dos autos, com indicação de peça e página, reduzindo a margem para que uma instrução adversarial produza efeitos sem deixar sinais verificáveis.
A terceira camada é institucional. Compreende a certificação nos autos de todo conteúdo adversarial detectado, com indicação da peça, da natureza do achado, da ação adotada pelo sistema e da data da detecção, preservada a independência funcional do magistrado quanto às providências; o registro e o inventário nacional das soluções e de sua exposição adversarial na Plataforma Sinapses; protocolos de auditoria adversarial com testes de equipe vermelha proporcionais ao risco de cada sistema; requisitos mínimos de segurança adversarial nas futuras contratações; a capacitação prévia e continuada de magistrados e servidores, em articulação com as escolas judiciais; e a resposta a incidentes conforme a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (Brasil, 2021).
Os tribunais que saíram na frente confirmam a viabilidade do modelo. O TJ-RO editou, ainda em novembro de 2025, nota técnica específica sobre prevenção e controle da manipulação maliciosa de comandos em documentos (Rondônia, 2025).
Conclusão
Mas seria ingenuidade supor encerrada a disputa. Os ataques documentados até aqui foram rudimentares, quase pueris; a fronteira da pesquisa já demonstra vetores invisíveis em imagens e inaudíveis em áudios, e a assimetria entre a evolução das técnicas de ataque e a capacidade de resposta institucional é o verdadeiro campo de batalha dos próximos anos.
A decisão continua humana. Para que continue também íntegra, imparcial e digna da confiança pública, a agenda de inovação precisa caminhar, passo a passo, com uma agenda equivalente de segurança. Vale, aqui, retomar a advertência de Nassim Nicholas Taleb que serviu de mote ao alerta de 2025: “Se você vê uma fraude e não diz ‘fraude’, você é uma fraude” (Badaró, 2025). O Judiciário brasileiro viu, e disse. Agora precisa continuar dizendo, com método, arquitetura e vigilância.
_______________________________________
Referências
BADARÓ, Rodrigo; PUPPE, Matheus. Prompt injection: ameaça invisível à imparcialidade do Judiciário na era da IA. Consultor Jurídico, São Paulo, 27 set. 2025.
BAGDASARYAN, Eugene; HSIEH, Tsung-Yin; NASSI, Ben; SHMATIKOV, Vitaly. (Ab)using Images and Sounds for Indirect Instruction Injection in Multi-Modal LLMs. arXiv, arXiv:2307.10490, 2023.
BRASIL. Conselho Nacional de Justiça. Nota Técnica nº 0004183-33.2026.2.00.0000. Relator: Conselheiro Rodrigo Badaró. Plenário, 9 jun. 2026. Ratifica a Manifestação Técnica CNIAJ nº 1/2026, de 27 maio 2026c.
BRASIL. Conselho Nacional de Justiça. Resolução nº 396, de 7 de junho de 2021. Institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário (ENSEC-PJ). Brasília: CNJ, 2021.
BRASIL. Superior Tribunal de Justiça. Tentativas de uso de prompt injection no STJ serão investigadas. Notícia institucional. Brasília, 20 maio 2026.
BRASIL. Tribunal Regional do Trabalho da 8ª Região. 3ª Vara do Trabalho de Parauapebas. Processo nº 0001062-55.2025.5.08.0130. Juiz Luiz Carlos de Araújo Santos Júnior. Sentença de 12 maio 2026d.
DE CICCO, Beatriz; COURA, Kalleo. Juiz multa em R$ 84 mil advogadas por prompt injection para manipular IA usada no TRT8. JOTA, São Paulo, 13 maio 2026.
KIM, Bodam; et al. When Good Sounds Go Adversarial: Jailbreaking Audio-Language Models with Benign Inputs. arXiv, arXiv:2508.03365, 2025.
MINAS GERAIS. Tribunal de Justiça do Estado de Minas Gerais. Centro de Inteligência da Justiça de Minas Gerais. Nota Técnica CIJMG n. 19/2026: o fenômeno do prompt oculto como nova modalidade de litigância de má-fé. Belo Horizonte, 5 maio 2026.
OWASP FOUNDATION. LLM01:2025 Prompt Injection. In: OWASP Top 10 for Large Language Model Applications. [S. l.]: OWASP GenAI Security Project, 2025.
REINO UNIDO. Civil Justice Council. Use of AI for preparing court documents: interim report and consultation. London: Civil Justice Council, 2025.
REINO UNIDO. Courts and Tribunals Judiciary. Artificial Intelligence (AI) Guidance for Judicial Office Holders. London: Judicial Office, versão atualizada em out. 2025.
RONDÔNIA. Tribunal de Justiça do Estado de Rondônia. Comitê de Governança em Inteligência Artificial. Nota Técnica n. 2/2025-CGIA/TJRO: segurança de sistemas de Inteligência Artificial no contexto judiciário: prevenção e controle de manipulação maliciosa de comandos (prompt injection) em documentos. Relator: Des. Alexandre Miguel. Porto Velho: TJRO, 19 nov. 2025.
O post Prompt injection: da ameaça invisível à resposta institucional do Judiciário apareceu primeiro em Consultor Jurídico.