Prompt injection, integridade processual e o Estado Democrático de Direito

A advocacia contenciosa incorporou uma nova rotina: antes de responder a qualquer manifestação, o arquivo da parte adversa é submetido a uma varredura automatizada para identificar comandos imperceptíveis a olho nu. Esse procedimento tornou-se etapa obrigatória e registrada em nosso escritório, sobretudo na defesa de grandes corporações. No contencioso, o volume opera como superfície de ataque. Quem processa milhares de peças padronizadas por mês com o auxílio de motores tecnológicos deve presumir que, em algum momento, alguém escreverá diretamente para essas máquinas, hipótese que já constatamos concretamente em nosso acervo.

Durante séculos, a petição manteve uma unidade semântica incontestável: o que estava escrito era exatamente o que juízes, promotores, advogados e servidores liam. O processo eletrônico, contudo, desfez essa premissa. Hoje, os autos são examinados por dois públicos distintos e com capacidades sensoriais diversas: seres humanos, que veem o documento renderizado na tela, e sistemas de inteligência artificial que consomem a camada digital de dados. Onde há divergência entre essas camadas, abre-se espaço para a manipulação deliberada por meio do prompt injection. Como os modelos de linguagem não distinguem inerentemente dados de instruções, comandos embutidos no interior de uma peça podem forçar a IA a agir contra seus parâmetros originais.

As técnicas exploradas são rústicas, mas eficazes: fontes brancas sobre fundo branco, caracteres de tamanho ínfimo, espaços de largura zero, homóglifos e discrepâncias intencionais entre a imagem escaneada e a camada de reconhecimento óptico de caracteres (OCR). Embora essa vulnerabilidade figure no topo do catálogo de riscos da OWASP¹ para modelos de linguagem, ela rapidamente migrou da segurança da informação para as varas e tribunais brasileiros. Em maio de 2026, a 39 vara do Trabalho de Parauapebas registrou o primeiro precedente documentado no país, aplicando multa por ato atentatório à dignidade da justiça a advogadas que inseriram comandos ocultos para que o sistema Galileu contestasse a ação de forma superficial. Pouco depois, caso similar foi identificado na 29º vara Cível Central de São Paulo em ação movida contra instituição bancária, culminando no recente alerta da sexta turma do STJ quanto à inserção de instruções invisíveis em recurso especial criminal.

A reação regulatória acompanhou a gravidade dos episódios, destacando-se a resolução CNJ 615/25 e notas técnicas de tribunais estaduais sobre governança e auditoria algorítmica. No entanto, o Judiciário não é o único alvo. Instituições financeiras, operadoras de telefonia e seguradoras dependem de triagem automatizada para classificar riscos, calcular provisões contábeis e definir alçadas de composição. Cada uma dessas etapas privadas é uma superfície vulnerável que não se submete à supervisão das resoluções judiciais, revelando que o dano patrimonial e estratégico pode ser consumado antes mesmo de qualquer intervenção do magistrado.

Para conter essa ameaça, nosso protocolo técnico dentro do escritório afasta o arquivo suspeito do fluxo automatizado e desenvolve uma resposta estruturada em cinco movimentos sucessivos: preservação rigorosa da cadeia de custódia probatória com resumo criptográfico (hash); provocação imediata do juízo para aplicação das sanções por litigância de má-fé e encaminhamento ao Ministério Público para apuração de fraude processual; comunicação aos núcleos correcionais de monitoramento de litigância predatória; varredura retroativa em todo o acervo do cliente para auditar eventuais contaminações passadas patrocinadas pelo mesmo subscritor; e devolutiva aos comitês internos de tecnologia e jurídico para endurecimento dos filtros e sanitização dos motores de entrada.

Essa abordagem refuta a tese simplista de que o comando oculto configuraria crime impossível ou tentativa inidônea sob o pretexto de que o juiz não pode delegar o ato decisório à máquina. Em primeiro lugar, a IA molda o ponto de partida cognitivo de quem decide ao organizar relatórios, resumos e minutas. Em segundo lugar, a supervisão humana em varas com acervos massivos não é imune a falhas cognitivas induzidas. Por fim, quando a instrução atinge os sistemas do réu para inflar acordos ou distorcer provisões, o prejuízo patrimonial é direto e consumado à margem de qualquer crivo jurisdicional.

O dano do prompt injection atinge a própria integridade do ato processual e a paridade de armas. Um documento com conteúdo bifurcado corrói a publicidade (art. 93, IX, da Constituição Federal) e impede o exercício do contraditório, pois a parte não pode impugnar o que não vê. Trata-se da versão digital da antiga tentativa de obter por via clandestina/oblíqua o que não se alcançaria pelo debate público. A resposta jurídica, portanto, exige rigor sancionatório, blindagem técnica dos sistemas corporativos e judiciais e o dever permanente de verificar o que o arquivo realmente diz quando ninguém está olhando. Ou seja, este, entre outros, são os males do desenvolvimento, os quais devemos enfrentar de cabeça erguida, não apenas como postura profissional, mas principalmente por sermos parte integrante de uma sociedade civilizada, dentro de um estado democrático de direito.

_____

1. Open Worldwide Application Security Project- organização internacional sem fins lucrativos dedicada à segurança de aplicações e sistemas web.