Quem abre uma petição da outra parte não costuma esperar um recado escondido para uma inteligência artificial. Mas tribunais já identificaram prompt injection em peças processuais: instruções inseridas para tentar direcionar a análise da ferramenta. Pelo visto, convencer pelos argumentos passou a dar trabalho demais.
Para o advogado que utiliza IA, a preocupação também chega ao escritório. O documento adversário pode tentar orientar justamente a tecnologia escolhida para ajudar na defesa. Antes de confiar no resumo, vale conhecer o mecanismo e os cuidados com a prova digital de uma possível manipulação.
Como funciona o prompt injection em petições
O prompt injection tenta fazer a IA seguir uma instrução indevida, em vez da tarefa solicitada. Em uma petição, o comando pode pedir que a ferramenta favoreça determinada tese ou ignore fragilidades. A interferência acontece se o sistema tratar esse conteúdo como uma ordem.
O desenvolvedor Simon Willison propôs o nome em setembro de 2022, no artigo “Prompt injection attacks against GPT-3”. Em fevereiro de 2023, Kai Greshake e outros pesquisadores publicaram um estudo sobre ataques indiretos por conteúdos externos.
Direto ou indireto
Na modalidade direta, a instrução chega pelo campo em que o usuário conversa com a ferramenta. Na indireta, ela vem de um conteúdo externo, como uma página, um e-mail ou um PDF recebido para análise. É essa segunda situação que aparece nas petições com comandos ocultos.
O risco não exige uma decisão judicial influenciada. Um resumo direcionado ou uma contestação superficial também pode comprometer o trabalho de quem utiliza a ferramenta.
Texto branco sobre fundo branco
Uma técnica identificada nos processos usa fonte branca sobre fundo branco, conhecida como white-on-white. O comando desaparece da leitura visual comum, mas continua no arquivo.
Dependendo do processamento, um extrator pode recuperar esse texto e encaminhá-lo à IA. Isso não significa que o OCR, que reconhece caracteres em imagens, necessariamente enxergará letras brancas sobre um fundo branco.
Comandos ocultos já provocaram sanções
As consequências variam conforme a conduta, a legislação e a análise de cada processo. Dois casos mostram por que a tentativa merece atenção mesmo sem resultado favorável ao responsável.
Parauapebas: multa às advogadas
Na 3ª Vara do Trabalho de Parauapebas, no Pará, o processamento de uma petição pelo Galileu revelou um comando oculto. A instrução pedia uma contestação superficial, sem impugnação dos documentos, independentemente da orientação recebida pela ferramenta.
Na sentença de 12 de maio de 2026, o juízo reconheceu ato atentatório à dignidade da Justiça. Aplicou às duas advogadas signatárias, solidariamente, multa de 10% sobre o valor da causa e determinou comunicações à OAB-PA e à Corregedoria do TRT da 8ª Região.
A decisão registrou que nenhuma contestação havia resultado do comando. Portanto, a sanção não decorreu de uma defesa efetivamente manipulada.
Connecticut: peticionamento somente em papel
No caso Elliott v. New York Bariatric Group, nos Estados Unidos, o autor atuava em causa própria. Ele inseriu texto branco em tamanho reduzido para orientar eventuais modelos de IA a concordar com sua manifestação e favorecer a revisão de um indeferimento anterior.
Em 6 de agosto de 2026, o juiz Walter M. Spader Jr. revogou sua autorização para protocolar eletronicamente. Determinou que as próximas peças e os documentos fossem apresentados pessoalmente, em papel, sem impedir a continuidade da ação. A decisão considerou também a repetição de mensagens ocultas após o alerta judicial.
O magistrado citou expressamente Parauapebas como exemplo de resposta judicial a uma conduta semelhante, esclarecendo que sua decisão se apoiava no direito de Connecticut.
Como os tribunais brasileiros identificam essas tentativas
Os tribunais combinam recursos técnicos e verificação humana. Em Parauapebas, por exemplo, o juízo examinou o conteúdo identificado durante o processamento pelo Galileu.
No STF, a funcionalidade Maria Shield identificou comandos ocultos em uma petição, conforme notícia oficial do tribunal. No STJ, o STJ Logos utiliza três níveis de proteção: pré-processamento, delimitação das instruções aceitas e revisão da resposta produzida.
Essas medidas pertencem aos sistemas institucionais. Não representam uma garantia sobre o comportamento da ferramenta que um escritório utiliza para analisar o mesmo arquivo. A proteção depende da aplicação e de seus controles.
Como verificar a peça da outra parte
Compare o conteúdo visível com o texto extraído do PDF. Transferir o texto para um editor sem formatação pode revelar disfarces simples, mas não substitui uma análise técnica. A extração também tem limitações.
Procure instruções fora de contexto e confira se elas integram a argumentação ou tentam comandar a ferramenta. Oriente a IA a tratar o documento como consulta, sem obedecer às instruções presentes nele. Essa medida reduz riscos, mas não oferece proteção absoluta.
Confira as conclusões nos trechos correspondentes da peça. Uma resposta bem escrita também pode estar errada. Se encontrar algo suspeito, preserve o arquivo original antes de fazer alterações.
Para questionar um comando oculto, é importante documentar qual arquivo você examinou e como o obteve.
Quando o acesso for autorizado e compatível com a plataforma, a Verifact permite registrar a navegação e incluir arquivos baixados durante a captura. Respeite o sigilo processual e as restrições de acesso. O registro auxilia a preservação, mas não identifica, por si só, quem inseriu o comando.
Os metadados técnicos contextualizam a coleta. A comparação dos códigos hash permite verificar se os arquivos permanecem iguais aos registrados no relatório. A assinatura digital e o carimbo de tempo ICP-Brasil complementam a preservação.
Guarde o documento junto ao relatório e aos pacotes fornecidos, conforme as orientações da plataforma. Esse conjunto poderá apoiar uma análise posterior.
Preserve antes de questionar
Encontrou uma instrução suspeita? Preserve o documento antes de editá-lo ou levar a questão ao processo.
Se o conteúdo estiver disponível online e puder ser capturado pela plataforma, use o banner para iniciar o registro. A instrução pode estar escondida; a evidência precisa estar preservada.
Faz um Verifact.
