Prompt injection e a fraude processual

Durante décadas, os operadores do Direito preocuparam-se com a autenticidade dos documentos, a licitude das provas e a veracidade das informações apresentadas em juízo. Com a incorporação da inteligência artificial às atividades jurídicas, surgiu uma nova preocupação: Já não basta proteger apenas o conteúdo destinado à leitura humana, pois também é necessário considerar aquilo que será interpretado pelas máquinas.

É nesse contexto que se insere o chamado prompt injection.

Os grandes modelos de linguagem, como ChatGPT, Claude e Gemini, funcionam a partir de instruções formuladas em linguagem natural. Diferentemente dos softwares tradicionais, esses sistemas não processam apenas comandos previamente estruturados, mas interpretam documentos, e-mails, páginas da internet, contratos, petições e diversos outros conteúdos textuais. Essa característica, responsável por grande parte da versatilidade dessas ferramentas, também revela uma vulnerabilidade importante.

O modelo de inteligência artificial nem sempre consegue distinguir, com absoluta precisão, aquilo que representa mera informação daquilo que constitui uma instrução a ser executada. Em outras palavras, o sistema pode interpretar como comando um texto que, aparentemente, seria apenas parte do documento submetido à sua análise.

O prompt injection explora justamente essa limitação. A técnica consiste na inserção deliberada de comandos destinados à inteligência artificial - e não ao leitor humano - com o propósito de alterar seu comportamento. Esses comandos podem induzir o modelo a ignorar instruções anteriores, omitir informações relevantes, privilegiar determinada versão dos fatos ou produzir respostas favoráveis aos interesses de quem os inseriu.

Não se trata, portanto, de uma invasão tradicional do sistema, como ocorre em ataques cibernéticos convencionais. A manipulação acontece por meio da própria linguagem. Em vez de explorar uma falha de programação, procura-se convencer a inteligência artificial de que determinado comando faz parte das instruções legítimas que devem orientar sua atuação.

Também não se deve confundir o prompt injection com o chamado jailbreak. No jailbreak, é o próprio usuário quem tenta persuadir a inteligência artificial a desrespeitar suas regras de funcionamento para obter respostas que normalmente seriam bloqueadas pelos mecanismos de segurança. No prompt injection, ao contrário, a manipulação encontra-se embutida em um conteúdo externo, muitas vezes sem qualquer conhecimento do usuário.

O comando pode permanecer oculto em um documento, em uma página da internet, em um e-mail, em um contrato ou até mesmo em uma petição judicial. Ao submeter esse material à análise de uma ferramenta de inteligência artificial, o profissional acredita que o sistema está apenas interpretando o conteúdo apresentado. Na realidade, entretanto, a ferramenta pode estar recebendo instruções adicionais capazes de influenciar o resultado de sua análise.

Em síntese, enquanto o leitor humano acredita estar diante de um documento, a inteligência artificial pode estar diante de um comando.

Essa vulnerabilidade, durante muito tempo discutida apenas no ambiente acadêmico e entre especialistas em segurança da informação, rapidamente deixou de representar um risco meramente teórico. Nos últimos meses, o Poder Judiciário brasileiro passou a identificar casos concretos de utilização dessa técnica em processos judiciais, revelando que o prompt injection já integra os desafios práticos da atividade forense.

O primeiro episódio de grande repercussão ocorreu na 3ª vara do Trabalho de Parauapebas, no Estado do Pará. Naquele caso, advogadas inseriram comandos ocultos em uma petição inicial utilizando texto branco sobre fundo branco, tornando-os invisíveis ao leitor humano, mas potencialmente interpretáveis por ferramentas de inteligência artificial empregadas na análise processual. Entre as instruções ocultas, determinava-se que a IA realizasse apenas uma análise superficial da peça adversária, deixasse de impugnar os documentos apresentados e privilegiasse a argumentação constante da petição inicial. Reconhecendo a gravidade da conduta, o magistrado aplicou multa por litigância de má-fé, determinou a remessa de ofício à Ordem dos Advogados do Brasil e qualificou o episódio como tentativa deliberada de manipulação do processo judicial.

Poucos dias depois, o STJ tornou público que também havia identificado tentativas semelhantes em petições protocoladas perante a Corte. Diante da constatação, o presidente do Tribunal determinou a instauração de investigação administrativa e policial para apurar a utilização de comandos ocultos destinados a influenciar sistemas de inteligência artificial empregados na triagem processual. Na mesma oportunidade, o STJ informou que suas ferramentas tecnológicas já possuíam mecanismos específicos destinados a detectar e neutralizar esse tipo de manipulação.

Situação semelhante foi posteriormente constatada pelo TJ/SP, que identificou petições contendo comandos invisíveis direcionados a sistemas de inteligência artificial para induzir o deferimento de pedidos de justiça gratuita, tutela de urgência e citação da parte contrária. Segundo o Tribunal, os episódios apresentavam indícios de litigância predatória associada ao uso abusivo da inteligência artificial, demonstrando que a tentativa de influenciar algoritmos já passou a integrar as estratégias utilizadas por alguns litigantes.

A discussão acerca do prompt injection não deve ser reduzida à existência, ou não, de um ilícito penal. Embora, em situações específicas, possa surgir debate sobre a eventual incidência do crime de fraude processual previsto no art. 347 do CP, a adequação típica dessa conduta está longe de ser evidente. O dispositivo incrimina a inovação artificiosa do estado de lugar, de coisa ou de pessoa, hipótese significativamente distinta da inserção de comandos ocultos destinados a influenciar sistemas de inteligência artificial. Em respeito ao princípio da legalidade estrita, não parece possível afirmar, em abstrato, que o emprego do prompt injection constitua, por si só, infração penal.

A CF/88 assegura, em seu art. 5º, inciso LV, o contraditório e a ampla defesa. Durante muito tempo, essas garantias foram compreendidas sob uma perspectiva essencialmente formal, bastando que às partes fosse assegurada ciência dos atos processuais e oportunidade de manifestação.

Essa concepção, entretanto, foi profundamente reformulada pela moderna teoria constitucional do processo. A doutrina contemporânea passou a reconhecer que o contraditório não se limita ao direito de participar do processo, mas compreende verdadeira garantia de influência sobre a construção da decisão jurisdicional. Como observa Fredie Didier Jr., o contraditório possui dimensão formal - consistente na participação das partes - e dimensão substancial, correspondente ao direito de influenciar o convencimento do julgador, razão pela qual "não basta que se permita à parte participar do processo; é indispensável que lhe seja assegurada efetiva possibilidade de influir no conteúdo da decisão" (DIDIER JR., 2008, p. 5).

Na mesma linha, Cândido Rangel Dinamarco ensina que o contraditório possui dupla destinação: dirige-se às partes, assegurando-lhes participação efetiva no processo, e também ao magistrado, que deve construir a decisão a partir do diálogo processual, considerando os argumentos submetidos ao debate (DINAMARCO, 2001, p. 127-132).

Essa evolução doutrinária revela um aspecto frequentemente ignorado. O contraditório não protege qualquer forma de influência. O que a Constituição assegura é o direito de influenciar a decisão por meio de argumentos conhecidos pelas partes, submetidos ao debate processual e passíveis de impugnação. Trata-se de uma influência transparente, dialógica e construída em ambiente de igualdade processual.

É justamente nesse ponto que o prompt injection rompe a lógica do processo constitucional.

A advocacia sempre teve como missão convencer o julgador. A persuasão constitui elemento essencial da profissão. Petições, memoriais, sustentações orais e recursos existem exatamente para influenciar a formação do convencimento judicial. O problema, portanto, não reside na tentativa de influenciar a decisão. O problema surge quando essa influência deixa de ser dirigida ao magistrado e passa a ser exercida mediante comandos invisíveis destinados exclusivamente aos sistemas de inteligência artificial eventualmente utilizados como ferramentas auxiliares da atividade jurisdicional.

Enquanto os argumentos jurídicos permanecem sujeitos ao contraditório, os comandos ocultos escapam completamente ao conhecimento da parte adversa e, muitas vezes, do próprio julgador. Não podem ser impugnados, discutidos ou refutados. Influenciam sem se submeter ao debate.

Sob essa perspectiva, o prompt injection não representa apenas uma vulnerabilidade tecnológica. Representa uma ruptura da própria estrutura dialógica do processo.

O direito de influência garantido pelo contraditório pressupõe publicidade. O prompt injection opera justamente pela invisibilidade. Por isso, parece incompatível com o modelo constitucional de processo cooperativo instituído pelo CPC de 2015.

Embora ainda não exista disciplina legislativa específica sobre o tema, isso não significa que a utilização do prompt injection permaneça juridicamente neutra. No plano processual, o CPC estabelece que todos aqueles que participam do processo devem comportar-se de acordo com a boa-fé (art. 5º). Essa diretriz constitui verdadeira cláusula geral de conduta, impondo padrões de lealdade, cooperação e transparência compatíveis com a formação democrática da decisão judicial.

Em complemento, os arts. 79 a 81 disciplinam a litigância de má-fé. O art. 80 apresenta hipóteses que podem assumir especial relevância quando comandos ocultos são empregados para influenciar sistemas utilizados pelo Poder Judiciário. Dependendo das circunstâncias concretas, a conduta poderá revelar utilização do processo para conseguir objetivo ilegal (art. 80, III), proceder de modo temerário em ato processual (art. 80, V) ou qualquer outra forma de atuação incompatível com os deveres de lealdade e boa-fé processual.

Naturalmente, a caracterização da litigância de má-fé dependerá da demonstração do elemento subjetivo, não sendo possível presumir ilicitude apenas pela utilização de inteligência artificial ou pela existência de comandos destinados à interação com esses sistemas. O elemento decisivo será a finalidade perseguida pelo litigante e sua aptidão para comprometer a regularidade da atividade jurisdicional.

No âmbito da advocacia, a análise assume contornos próprios.

O Estatuto da Advocacia não apenas admite, como implicitamente prestigia a utilização de todos os meios lícitos destinados à adequada defesa dos interesses do cliente. A inteligência artificial constitui, sem dúvida, ferramenta legítima de exercício profissional.

A liberdade técnica do advogado, contudo, não é absoluta.

O art. 2º da lei 8.906/94 estabelece que o advogado é indispensável à administração da Justiça. Essa indispensabilidade transcende a condição de prerrogativa profissional para assumir verdadeira dimensão institucional. Quem participa da administração da Justiça também assume deveres para com ela.

Nessa mesma perspectiva, o art. 31 do Estatuto impõe ao advogado atuação compatível com a dignidade da profissão, observando independência, honestidade, decoro, veracidade, lealdade, dignidade e boa-fé. O art. 33, por sua vez, determina a estrita observância do Código de Ética e Disciplina da Ordem dos Advogados do Brasil, que igualmente estrutura o exercício profissional sobre os princípios da honestidade, da lealdade e da boa-fé.

Enquanto a persuasão integra a própria essência da atividade advocatícia, a manipulação clandestina procura influenciar a formação da decisão por meios que escapam ao contraditório, impedindo que a parte adversa conheça, impugne ou responda aos elementos efetivamente considerados pela ferramenta tecnológica.

Resta claro que essa influência somente será legítima quando exercida de forma transparente, leal, submetida ao contraditório e compatível com a boa-fé objetiva. Sempre que a persuasão abandonar o espaço público do debate processual para migrar para comandos invisíveis dirigidos exclusivamente às máquinas, deixará de representar exercício legítimo da advocacia para aproximar-se de uma prática incompatível com a própria ideia de processo democrático.