Prompt injection chegou aos autos: o que os primeiros casos brasileiros ensinam

Prompt injection não é hipótese de laboratório. Comandos ocultos endereçados à inteligência artificial dos tribunais já foram identificados em autos reais — TRT-8 (Pará), STJ, TJ-SP, TJ-MS, e a lista cresce a cada varredura do Observatório.

O ataque é simples de descrever e invisível ao olho: instruções escondidas dentro da própria peça — texto branco sobre fundo branco, comandos em metadados do PDF, camadas que não se imprimem — dirigidas à IA que o tribunal usa para triar e resumir processos. O advogado da parte contrária não vê. O juiz não vê. A máquina lê.

Quatro dias que resumem a década

O ritmo do tema é o que mais impressiona. Em junho de 2026:

• 05/06 — a ConJur publica o artigo que reuniu os primeiros casos concretos e lhes deu enquadramento jurídico;
• 08/06 — sai a análise que reposiciona o problema como falha de incentivos institucionais, não só fraude individual;
• 09/06 — o CNJ aprova o PROSEG-IA e reconhece o prompt injection como risco processual.

Em quatro dias, o Judiciário brasileiro descobriu o ataque, teorizou sobre ele e começou a regulá-lo. Poucos temas jurídicos andam nessa velocidade — e quem atua na ponta não pode esperar o regulamento ficar pronto para entender o fenômeno.

A tese que muda o conceito de integridade dos autos

O enquadramento jurídico dos primeiros comentaristas é ato atentatório à dignidade da Justiça e violação da boa-fé processual. Mas a tese com mais futuro doutrinário é outra: "a integridade dos autos não se limita ao conteúdo visualmente perceptível da peça", como sintetizaram Correra e Prescendo na ConJur.

Até ontem, integridade dos autos era sobre o que está escrito e assinado. Agora inclui o que só a máquina lê. Isso desloca o ônus: quem opera IA no tribunal passa a responder pela ingestão limpa do documento.

O dano é pré-decisório — e atinge mais quem menos pode auditar

O ponto que mais me importa, olhando da ponta do sistema de justiça: o dano do prompt injection não acontece na decisão, acontece antes dela. A IA resume os autos e entrega ao julgador uma versão dos fatos. Se essa versão foi manipulada, o juiz decide sobre uma base distorcida sem saber. A responsabilidade formal continua dele — mas a informação chegou envenenada.

E quem mais perde é a parte sem estrutura para auditar: o jurisdicionado vulnerável nem imagina que há uma IA no meio do caminho. Transparência sobre quando e como a IA resume os autos deixou de ser pauta técnica e virou pauta de acesso à Justiça.

Sabotagem e falha sistêmica corrompem a mesma síntese

O prompt injection é o ataque deliberado. Mas ele tem um gêmeo silencioso: a alucinação — a IA do próprio tribunal errando a síntese sem ataque nenhum. Um é sabotagem, o outro é falha sistêmica; os dois corrompem a mesma síntese pré-decisória, e para o jurisdicionado o efeito é idêntico.

A defesa precisa cobrir os dois flancos: pedir o texto íntegro e questionar a síntese, venha o erro de má-fé ou de máquina. É exatamente por isso que o Observatório cataloga as duas categorias lado a lado, caso a caso, com fonte verificada.