Prompt injection no Judiciário

Você provavelmente já se deparou com o termo prompt injection e com notícias sobre o seu uso no Poder Judiciário. O que talvez ainda não esteja tão evidente é que essa prática revela uma transformação mais profunda e relevante para o debate jurídico do que as manchetes sugerem.

Para compreender o que está em jogo, é preciso considerar como a inteligência artificial vem modificando o trabalho no contencioso, desde a pesquisa e a organização dos documentos até o exame das objeções e a construção dos argumentos. Os large language models (LLMs), ou grandes modelos de linguagem, ocupam uma posição central nesse processo. Treinados com extensas coleções de textos, esses sistemas reconhecem padrões e produzem linguagem a partir do contexto recebido.¹ A facilidade com que formulam respostas articuladas permite empregá-los em atividades que exigem leitura e redação, embora a fluência possa encobrir erros de análise jurídica. Ao utilizá-los para examinar os autos, o profissional precisa ainda considerar a possibilidade de que comandos inseridos nos documentos interfiram na resposta. Assim, o interesse pelo prompt injection decorre dessa combinação entre a utilidade da ferramenta e os cuidados exigidos por sua participação no trabalho processual.

Em 2022, os avanços que a pesquisa da OpenAI sobre o InstructGPT registrava na execução de instruções ainda conviviam com erros simples e limitações importantes de compreensão.² Os modelos daquela geração tinham capacidades mais restritas de raciocínio e de processamento de grandes volumes de texto, o que dificultava o trabalho com petições extensas, contratos e autos na íntegra. Seu uso mais imediato se concentrava na produção e na revisão de textos fornecidos pelo usuário, com dificuldades para acompanhar documentos longos e relacionar informações dispersas. A evolução dos modelos e sua integração a ferramentas de leitura, edição e automação ampliaram consideravelmente esse campo de atuação. Hoje, aplicações equipadas com esses recursos, como os softwares para desktop Codex e Claude, podem analisar conjuntos documentais maiores, capturar telas, recortar imagens, criar e formatar documentos Word, dividir ou reunir PDFs e organizar novos arquivos a partir do material recebido. A IA passa, assim, a participar de várias etapas da preparação de uma peça, incluindo o tratamento dos documentos que servirão de base à redação. No Direito, em que a precisão de uma palavra pode alterar o alcance de um pedido, essa ampliação exige que a conferência e a qualificação do profissional acompanhem também a seleção e a organização das informações utilizadas.

Os indicadores disponíveis ajudam a dimensionar a evolução dessas ferramentas. O AI Index 2026, de Stanford, registra um avanço de 30 pontos percentuais em um ano no Humanity’s Last Exam, uma avaliação de questões complexas para inteligências artificiais. O relatório já apontava que o custo de utilizar um modelo para gerar respostas, chamado custo de inferência, havia caído mais de 280 vezes entre novembro de 2022 e outubro de 2024, mantendo-se um patamar de desempenho equivalente ao do GPT-3.5.³ Modelos como o Claude Fable 5.1, o GPT-5.6 Sol e o GPT-6 Astra, que são mais recentes, ilustram a renovação da oferta em 2026.⁴ Esse ritmo exige avaliações atualizadas das ferramentas, pois a experiência com as primeiras versões oferece uma referência limitada para compreender suas possibilidades atuais. Ou seja: o profissional que estiver antenado nessas novidades possui a incontestável tendência a sair na frente na atuação no contencioso, quando comparado com quem ainda utiliza ferramentas mais defasadas.

A preocupação com os efeitos dessa evolução já ultrapassa os setores diretamente ligados à tecnologia. A título de exemplo, em 3 de setembro de 2026, os políticos estadunidenses Bernie Sanders e Greg Casar anunciaram a apresentação de uma proposta para proibir a "superinteligência artificial" e suspender temporariamente o desenvolvimento de sistemas avançados até a definição de regras federais. A iniciativa ainda se encontrava na etapa de anúncio de uma proposta legislativa.⁵ O episódio ilustra a presença do tema no debate político sobre segurança, trabalho e controle institucional global. Enquanto essas respostas são discutidas, a advocacia precisa definir, o quanto antes, procedimentos para lidar com ferramentas que já participam da organização de sua atividade profissional.

Percebe-se, quanto a esse uso, inclusive, que o acesso contínuo às ferramentas avançadas de IA depende também da capacidade de custear suas assinaturas. O ChatGPT Plus custa US$ 20 mensais, e o Pro parte de US$ 100, valores equivalentes a aproximadamente R$ 102 e R$ 510 em conversão simples, com limites de uso maiores no plano mais caro. Essa despesa tem pesos diferentes em uma advocacia que reúne mais de 1,5 milhão de profissionais; o estudo PerfilADV, publicado em 2024 com dados coletados em 2023, apontou que 64% dos respondentes declaravam renda individual proveniente da advocacia de até cinco salários mínimos e que 72% atuavam como autônomos.⁶ Para quem precisa acomodar a assinatura entre as despesas pessoais e os custos de manter a atividade advocatícia, o pagamento recorrente pode restringir a escolha do plano e a intensidade de uso. Advogados mais bem remunerados e escritórios com maior disponibilidade financeira tendem, assim, a ter melhores condições de contratar franquias ampliadas, combinar ferramentas e investir em treinamento. Esses recursos oferecem mais oportunidades para experimentar métodos de trabalho, acelerar tarefas e se preparar para identificar e enfrentar tentativas de prompt injection, desde que acompanhados da capacitação necessária para utilizá-los, e demonstram uma disparidade socioeconômica que pode levar a uma real vantagem dentro do contencioso.

Essa diferença de acesso pode repercutir no tempo que cada profissional consegue dedicar ao aprofundamento de uma causa. Ao auxiliar na organização dos documentos e na redação, a IA pode liberar horas para o exame das evidências, a pesquisa de fundamentos e a antecipação das objeções da parte contrária. Considere, como hipótese ilustrativa, uma petição cuja redação manual ocuparia dois ou três dias de trabalho. Se, em um caso já estudado e com os documentos organizados, a ferramenta produzir uma minuta adequada em trinta minutos e o advogado concluir a conferência dos fatos, das fontes e dos pedidos em outros trinta, essa etapa terá sido realizada em uma hora. Note-se, agora, este outro exemplo na prática: o estudo AI-Powered Lawyering, publicado em 2026, avaliou estudantes de Direito com e sem ferramentas de IA. Na condição de uso do modelo o1-preview, foram observadas reduções de tempo de 25,7% na elaboração de um memorando e de 33% na redação de um requerimento de reunião de processos por conexão. Houve também ganhos na qualidade da análise em determinadas tarefas, ainda que sem melhora estatisticamente significativa da precisão factual e jurídica no conjunto das tarefas.⁷ É notório que o estudo oferece apoio ao uso da IA para reduzir o tempo de execução de certas atividades, dentro das condições avaliadas. O ganho profissional estará na possibilidade de reservar o tempo economizado ao estudo de questões que receberiam menos atenção diante dos demais prazos e compromissos do escritório.

O aproveitamento responsável dessas ferramentas exige competências que se somam ao domínio dos editores de texto, das planilhas e dos sistemas processuais. Para quem utiliza IA no trabalho jurídico, torna-se necessário compreender como fornecer o contexto, delimitar a tarefa, estabelecer critérios de resposta e avaliar o resultado. A engenharia de prompts, ou prompt engineering, reúne parte dessas habilidades.⁸ A qualidade do trabalho depende também da seleção dos documentos, da adequação das premissas jurídicas e da revisão do conteúdo produzido. O profissional precisa saber conduzir a ferramenta e reconhecer os pontos em que a resposta exige investigação adicional, recorrendo às fontes e ao próprio conhecimento do Direito.

Essa preparação ganha relevância em um ambiente no qual a adoção institucional da IA já é expressiva. Na pesquisa TIC Governo 2025, o Cetic.br registra o uso de tecnologias de IA, nos doze meses anteriores, por 94% dos órgãos do Judiciário abrangidos pela pesquisa. O indicador considera IA em geral e mede sua presença nos órgãos, sem informar a proporção de juízes que usam LLMs ou a quantidade de decisões produzidas com esse apoio.⁹ Nos usos que envolvem a análise dos autos por ferramentas generativas, surge a necessidade de acompanhar como os documentos são processados e como sustentam as respostas. Esse cuidado interessa tanto às instituições quanto aos escritórios que empregam a tecnologia para examinar processos, porque é possível entender que é uma ferramenta que está presente tanto na rotina de quem litiga quanto na de quem julga.

A discussão desenvolvida até aqui permite sintetizar três implicações para a prática contenciosa: (a) A evolução dos modelos e das ferramentas amplia as etapas do trabalho contencioso que podem receber auxílio da IA. A economia de tempo observada em tarefas específicas pode favorecer o aprofundamento da causa, quando o escritório destina esse tempo à análise jurídica. (b) As condições socioeconômicas de acesso e a capacitação influenciam o aproveitamento dessa capacidade. Profissionais com recursos para contratar maiores limites de uso e investir em treinamento dispõem de mais oportunidades de experimentar e aperfeiçoar seus métodos de trabalho, preparando-se para enfrentar práticas como o prompt injection. (c) Quando ferramentas generativas participam da análise dos autos, a revisão profissional precisa alcançar as informações utilizadas e a correspondência entre essas informações e as respostas produzidas. A confiabilidade do trabalho passa a depender também da integridade do processamento documental.

O prompt injection diante desse cenário fático

O prompt injection ameaça justamente esse processamento. Na modalidade indireta, o ataque ocorre por meio de um comando incorporado a um arquivo ou a outro conteúdo externo, com a intenção de desviar a ferramenta das instruções legítimas de quem a utiliza. O sistema é induzido a tratar parte do material submetido à análise como uma ordem sobre a execução da tarefa.¹⁰ A persuasão processual, por sua vez, procura convencer o julgador mediante argumentos e pedidos que podem ser examinados e contestados. A inserção de instruções dissimuladas busca interferir no funcionamento da ferramenta empregada nessa leitura, dificultando o controle sobre a formação da análise. Proteger a integridade desse processamento contribui para preservar as condições em que os argumentos e as provas serão apreciados.

Essa possibilidade acrescenta uma dimensão tecnológica à disputa contenciosa. Os advogados podem “lutar” pela melhor interpretação jurídica, pela consistência dos argumentos e pela força das evidências que apresentam. Com a incorporação da IA, a preparação para esse confronto passa a envolver também a capacidade dos modelos disponíveis e a habilidade de utilizar recursos de informática. Um profissional pode trabalhar com uma ferramenta mais capaz de relacionar documentos, enquanto outro pode dominar melhor a configuração de uma pesquisa ou a verificação dos resultados. Essas diferenças repercutem nas condições de construção e avaliação das teses. Nesse cenário, o problema se torna especialmente grave quando alguém procura explorar o funcionamento da tecnologia utilizada pela parte contrária ou pelo próprio Judiciário para interferir na análise do processo.

Os episódios identificados no Brasil mostram como essas tentativas chegam aos processos. Em julgamento de 1º de setembro de 2026, a Sexta Turma do STJ determinou comunicações à OAB e ao Ministério Público Federal após encontrar, em recurso especial, texto branco sobre fundo branco destinado a direcionar a IA ao acolhimento das razões defensivas. Em maio, o tribunal já havia relatado tentativas neutralizadas pelo STJ Logos; em junho, o TJSP divulgara o registro de pelo menos cinco tentativas no estado.¹¹ À medida que mais documentos passam por sistemas de IA, aumentam as oportunidades de inserir comandos em materiais que essas ferramentas irão consultar. A ampliação do acesso também permite que mais pessoas experimentem formas de explorar esse funcionamento. Há, portanto, razões para considerar a disseminação das tentativas de prompt injection um cenário plausível de risco, a ser acompanhado pelos escritórios e pelo Judiciário. A frequência futura dependerá também das salvaguardas adotadas, da capacidade de detecção e das consequências impostas aos usos indevidos. Os episódios conhecidos justificam a preparação desde já, sem que seja necessário esperar uma estatística nacional para organizar as medidas de prevenção.

Para além disso, o prompt injection é apenas o começo de uma discussão mais ampla sobre a integridade tecnológica do Direito. A geração e a alteração de imagens, áudios e vídeos realistas feitos com IA permitem fabricar materiais capazes de aparentar o registro de acontecimentos ou evidências. Os chamados deepfakes podem, por exemplo, atribuir a uma pessoa palavras que ela não disse ou condutas que ela não praticou. Se apresentados como provas autênticas, esses conteúdos procuram influenciar o julgamento pela falsificação dos próprios fatos que serão examinados. O risco já é discutido na literatura jurídica sobre prova digital e nas pesquisas técnicas sobre conteúdo sintético.¹² A manipulação pode atingir tanto o material probatório quanto a forma pela qual uma ferramenta lê os autos, exigindo atenção a problemas distintos de autenticidade e de processamento. Vê-se que, nessa levada, quando o advogado recebe um vídeo, uma imagem ou uma gravação, o realismo visual ou sonoro deixa de ser uma razão suficiente para encerrar a verificação. A análise precisa considerar a origem do arquivo, o histórico disponível de sua produção e a compatibilidade com os demais elementos do processo.

Para se antecipar a esses riscos, há uma preparação que pode ser incorporada às próprias ferramentas utilizadas pelos escritórios de advocacia. A equipe pode configurar rotinas para sinalizar instruções suspeitas em documentos, registrar divergências entre o conteúdo visível e o texto extraído e encaminhar alertas para revisão humana.¹³ O treinamento de detectores especializados, quando tecnicamente viável, e os testes periódicos com exemplos controlados ajudam a avaliar quais ocorrências os sistemas reconhecem e quais deixam passar.¹⁴ Trata-se de um trabalho de configuração, validação e atualização que exige competências de informática e de IA, e preferencialmente um departamento específico para isso dentro do escritório. Uma orientação escrita no prompt, isoladamente, oferece proteção limitada, e a ferramenta encarregada da triagem também precisa ser avaliada quanto aos erros que pode cometer. O objetivo é organizar uma capacidade de resposta que acompanhe a evolução dos recursos usados no contencioso. Quando essa triagem revelar indícios de uso indevido nos autos, o escritório deve preservar o material e registrar o que foi identificado. Havendo fundamento para a suspeita, cabe levá-la ao juízo competente, indicando o documento, a anomalia observada e a verificação técnica pretendida, de acordo com o procedimento e os prazos aplicáveis. Eventuais repercussões disciplinares ou criminais devem ser avaliadas conforme os fatos e encaminhadas às autoridades competentes. Esse cuidado permite buscar esclarecimentos e, quando necessário, exame especializado, sem atribuir a um alerta automático o valor de uma prova conclusiva de fraude. A rapidez da reação ganha utilidade quando acompanhada de elementos que permitam ao Judiciário e às partes examinar a questão.

Por fim, a extensão dessas mudanças permite falar em uma revolução tecnológica na prática contenciosa, na qual se pode notar que a IA já participa de atividades relevantes, e a ampliação de suas capacidades e de seu acesso torna pouco prudente organizar a profissão como se esse movimento fosse desaparecer. Para a advocacia de 2026 em diante, a formação continuada em IA, informática e verificação de evidências digitais passa a integrar a preparação jurídica mínima necessária ao advogado para defender os interesses dos clientes. Os escritórios que capacitarem seus colaboradores e desenvolverem procedimentos técnicos de análise e uso criterioso de ferramentas de inteligência artificial antes de enfrentar um incidente tendem a chegar a essas situações com uma vantagem concreta de preparação. Esses, por sua vez, terão melhores condições de aproveitar os recursos legítimos, reconhecer sinais de manipulação e fundamentar a resposta processual adequada. O valor dessa antecipação se revela na capacidade de trabalhar com a tecnologia e de reagir quando ela é usada para comprometer a confiabilidade do processo, trazendo mais uma forma de qualificação para futuros advogados e para todo o Direito contencioso.

Notas e referências

1. STANFORD HAI. What is a Large Language Model (LLM)?. Definição introdutória dos grandes modelos de linguagem. ↩
2. OUYANG, Long et al. Training language models to follow instructions with human feedback. 2022. Pesquisa sobre o InstructGPT, seus avanços e suas limitações. Não se trata de uma avaliação específica de petições. ↩
3. STANFORD HAI. AI Index 2026 — Technical Performance, destaque 1; e AI Index 2025, destaque 7. A comparação de custos mantém um patamar de desempenho equivalente ao GPT-3.5 no MMLU; não corresponde à queda do preço de uma assinatura nem à medição de competência jurídica. ↩
4. ANTHROPIC. Introducing Claude Fable 5.1 and Claude Mythos 5.1. Setembro de 2026. OPENAI. Documentação dos modelos GPT-5.6 Sol e GPT-6 Astra. ↩
5. SANDERS, Bernie. Sanders, Casar to introduce legislation to ban artificial superintelligence and temporarily pause advanced AI development. Comunicado de 3 set. 2026 sobre o Ban Artificial Superintelligence Act. O corpo da publicação apresenta a iniciativa como legislação a ser proposta; não confirma uma lei aprovada e vigente. ↩
6. CONSELHO FEDERAL DA OAB. Quadro da Advocacia, categoria Advogado(a), painel consultado em 3 set. 2026. OAB/FGV. PerfilADV — 1º Estudo Demográfico da Advocacia Brasileira. 2024, especialmente pp. 43–44. Coleta em 2023, com 20.885 respostas e ponderação; os rendimentos mencionados são oriundos da advocacia, não a renda familiar. OPENAI. Pricing — ChatGPT Work e Codex, consultado em 4 set. 2026. Plus a US$ 20/mês e Pro a partir de US$ 100/mês; a faixa Pro de US$ 100 oferece cinco vezes a franquia de uso do Plus em Work/Codex, sujeita às regras do serviço. Conversão de referência pela PTAX de venda do Banco Central de 3 set. 2026, de R$ 5,0962 por dólar, resultando em R$ 101,92 e R$ 509,62. Os valores arredondados no corpo não são preços locais de contratação e desconsideram tributos, tarifas e condições comerciais regionais. A vantagem de preparação discutida no texto é uma inferência sobre os recursos disponíveis, não uma medição de desempenho dos advogados. ↩
7. SCHWARCZ, Daniel et al. AI-Powered Lawyering: AI Reasoning Models, Retrieval Augmented Generation, and the Future of Legal Practice. Journal of Law and Empirical Analysis, v. 3, n. 1, p. 220–250, 2026. DOI: 10.1177/2755323X261427048. Experimento com estudantes nos Estados Unidos; tabela 10. Os tempos foram autorrelatados. Não é uma estimativa da duração de causas brasileiras nem um teste dos modelos lançados em setembro de 2026. ↩
8. Prompt engineering, ou engenharia de prompts, é a prática de formular, testar e aperfeiçoar as instruções e o contexto fornecidos a um modelo, buscando respostas adequadas à tarefa. Pode envolver a definição do objetivo, das fontes, das restrições, dos exemplos e do formato de saída. Não se confunde com o treinamento do modelo nem elimina a necessidade de conferir o resultado. Ver OPENAI. Prompt engineering. ↩
9. CGI.br/NIC.br/CETIC.br. TIC Governo 2025 — Indicador H3: órgãos públicos federais e estaduais por uso de tecnologias de inteligência artificial nos últimos doze meses. Recorte do Poder Judiciário. O universo é institucional, e a categoria IA é mais ampla que IA generativa. ↩
10. OWASP GEN AI SECURITY PROJECT. LLM01:2025 — Prompt Injection. Definição de ataques diretos e indiretos e estratégias de mitigação. ↩
11. STJ. Sexta Turma identifica comando oculto em recurso para enganar sistema de IA e determina comunicação à OAB e ao MPF, 2 set. 2026, REsp 2.256.731; Tentativas de uso de prompt injection no STJ serão investigadas, 20 maio 2026. TJSP. TJSP na Mídia: atuação do Judiciário no combate à manipulação de ferramentas de IA em processos, 1º jun. 2026. ↩
12. CHANDRA, Bilva et al. Reducing Risks Posed by Synthetic Content: An Overview of Technical Approaches to Digital Content Transparency. NIST AI 100-4, nov. 2024, síntese e seções sobre detecção e procedência de conteúdo. OLIVEIRA, Pedro Enrico de; COSTA, Rafael Lima da. Ensaio sobre o uso de deepfake no processo criminal: possíveis riscos e soluções. Texto disponível no portal da Enfam, especialmente resumo e introdução. O estudo jurídico discute riscos e propostas de controle; não apresenta uma estatística de fraudes comprovadas em processos. ↩
13. CNJ/CNIAJ. Manifestação Técnica CNIAJ 1/2026 — Injeção de comandos. 27 maio 2026, especialmente seções 3, 4.5 e 5.2. Orientações para sistemas judiciais; a aplicação à rotina dos escritórios é uma proposta analítica deste artigo. ↩
14. NIST. Guardians of Forensic Evidence. Programa de avaliação forense de deepfakes, atualizado em 17 ago. 2026. Discute generalização, desempenho em situações reais e validação continuada de detectores. As sugestões de organização da triagem e de encaminhamento de suspeitas nos escritórios são propostas deste artigo, não certificação de ferramentas nem garantia de detecção. ↩