Prompt Injection de Galileu : un tribunal brésilien inflige une amende à des avocates pour du texte caché dans une requête

Une prompt injection de Galileu a entraîné des sanctions contre deux avocates brésiliennes après qu’un tribunal du travail a découvert des instructions dissimulées dans leur requête. La prompt injection consiste à intégrer dans un contenu traité par une IA des instructions visant à rediriger son comportement. Dans cette affaire, du texte blanc sur fond blanc masquait le contenu à la vue ordinaire. Le tribunal a considéré cette insertion comme une tentative d’ingérence dans le travail judiciaire.

La décision a été rendue par la troisième juridiction du travail de Parauapebas, dans l’État brésilien du Pará, le 12 mai 2026. Cette date est importante : la couverture de novembre porte sur une décision antérieure, et non sur une requête nouvellement découverte. La conclusion doit aussi être circonscrite avec prudence. Une tentative de manipulation ne prouve pas qu’une IA l’a suivie ni qu’elle a modifié un jugement.

Le conflit central oppose l’automatisation documentaire à l’obligation de traiter les écritures contradictoires comme des éléments de preuve nécessitant un examen attentif. Microsoft et Anthropic abordent cette même limite dans leurs recommandations de sécurité. Les tribunaux font face à une version particulièrement exigeante du problème : les parties adverses soumettent légitimement des documents persuasifs, tandis que les juges doivent distinguer ces arguments de tentatives cachées visant à contrôler un logiciel.

Ce qu’a réellement établi la décision sur la prompt injection de Galileu

La décision du tribunal du travail décrit un texte caché découvert lors du traitement de la requête initiale par Galileu. La modification de la couleur de la police a révélé le contenu.

Le juge a attribué la responsabilité aux deux avocates ayant signé la requête. La décision a imposé une amende solidaire équivalant à 10 % de la valeur de la demande et ordonné des notifications aux organismes de contrôle professionnels et judiciaires.

La constatation documentée porte sur une tentative de manipulation, sans établir une prise de contrôle réussie de l’IA du tribunal.

Cette distinction empêche le récit de dépasser les éléments dont il dispose. La découverte, la tentative d’influence, l’influence réussie et une décision judiciaire modifiée constituent des affirmations distinctes. Établir l’une d’elles n’établit pas automatiquement les autres.

La dissimulation modifie également la manière dont les lecteurs doivent comprendre la requête. Les avocats demandent régulièrement aux tribunaux d’adopter leur interprétation des faits et du droit. Une instruction cachée visant un logiciel agit par un autre canal.

Le raisonnement du tribunal impute la responsabilité aux professionnelles qui ont préparé et signé l’écrit. Cette conclusion doit rester attribuée au juge. Elle ne donne pas aux observateurs extérieurs une connaissance indépendante de chaque étape de création du document.

Le litige du travail sous-jacent et la sanction doivent également être traités séparément. Le droit d’une partie à obtenir une réparation liée à l’emploi ne détermine pas si ses représentantes ont correctement géré une requête. De même, une faute liée à un document ne tranche pas automatiquement le bien-fondé de chaque allégation sous-jacente.

Cette séparation importe lorsqu’un récit technologique entre dans le traitement de l’actualité judiciaire. Un récit spectaculaire d’attaque contre une IA peut occulter la mesure procédurale plus limitée réellement prise par le juge. Les lecteurs ont besoin à la fois de l’allégation technique et des limites de la constatation judiciaire.

La décision accessible fournit des éléments allant au-delà d’une publication circulant sur les réseaux sociaux. Elle permet de présenter l’incident comme une action judiciaire documentée. Elle n’élimine pas les questions relatives aux procédures ultérieures, aux contestations de la sanction ou aux suites disciplinaires.

Un renvoi à un barreau ouvre une procédure distincte de responsabilité. Il ne doit pas être présenté comme une décision disciplinaire définitive. La même prudence s’applique à toute supposition selon laquelle l’amende initiale serait nécessairement restée inchangée.

Le récit le plus clair réunit donc plusieurs éléments. Le tribunal a identifié un contenu dissimulé, attribué une responsabilité et imposé des sanctions. Les affirmations concernant des conséquences disciplinaires définitives ou une réussite technique plus large exigent leurs propres preuves.

Pour les lecteurs hors du Brésil, l’importance durable réside dans cette discipline probatoire. Une requête suspecte peut entraîner des conséquences même lorsque les reportages n’établissent pas que la manipulation visée a réussi.

L’automatisation judiciaire met sous pression la frontière documentaire

Galileu a été conçu pour des tâches directement liées au raisonnement judiciaire. Le Conseil national de justice du Brésil a décrit son rôle dans la rédaction judiciaire en mai 2025.

Selon cette présentation, le système lit les requêtes initiales et les défenses, organise les informations et suggère des éléments de projet aux juges. Développé par le TRT-4, il a été autorisé à être utilisé dans les juridictions du travail de l’ensemble du Brésil.

Un assistant de rédaction doit être protégé avant que son résultat n’atteigne la personne responsable de la décision.

La promesse institutionnelle est compréhensible. L’organisation des allégations et des réponses peut réduire les tâches répétitives. Un projet structuré peut aider un examinateur à parcourir un dossier complexe.

La question de sécurité commence avec le même contenu qui rend l’assistant utile. Les parties fournissent les documents, tandis que le tribunal contrôle la tâche. Ces rôles doivent rester distincts tout au long du traitement.

Une requête fait autorité en tant que soumission dans une affaire. Ce statut ne confère pas à son auteur une autorité sur le logiciel du tribunal. Accepter un document à l’examen ne devrait jamais signifier accepter des directives intégrées sur la manière dont l’assistant doit fonctionner.

Cela exerce une pression sur plusieurs groupes. Les juges doivent pouvoir être certains que le projet reflète le dossier. Le personnel judiciaire a besoin d’un moyen fiable de signaler les contenus suspects sans écarter des éléments de preuve légitimes.

Les développeurs font face à une obligation différente. Ils doivent préserver la distinction entre les déclarations d’un document et les instructions de l’application. Une réponse fluide ne peut pas démontrer que cette distinction a été maintenue.

Les équipes chargées des achats ont également besoin de plus qu’une démonstration à partir de documents d’exemple propres. La question pertinente porte sur les performances lorsqu’une soumission contient un contenu contradictoire, dissimulé ou trompeur. Les tests ordinaires d’exactitude ne répondent pas à cette question.

La supervision humaine reste essentielle, mais son emplacement compte. Examiner un projet soigné après son traitement offre une occasion d’analyse différente de celle consistant à inspecter des documents sources suspects avant la génération.

Un examinateur pourrait remarquer une phrase étrange dans une sortie. Détecter un argument manquant est plus difficile, car l’omission ne laisse aucun avertissement évident. Il s’agit d’un risque analytique, et non d’une constatation concernant cette affaire particulière.

La pression dépasse donc la question de savoir si un juge signe la décision finale. Elle concerne la capacité du flux de travail à donner à ce juge une occasion réelle d’examiner les informations qui façonnent le projet.

Pour les acheteurs en entreprise, la comparaison est immédiate. Un assistant d’examen de contrats et un assistant de rédaction judiciaire servent des institutions différentes, mais tous deux traitent des documents rédigés par des tiers.

Une base de connaissances IA soulève une question connexe lorsqu’elle intègre des contenus externes. La possibilité de recherche et la facilité de récupération ne déterminent pas si une source doit influencer le comportement d’un assistant.

La leçon de déploiement est précise : un accès utile aux documents accroît l’importance de contrôler l’autorité accordée à ces documents. Le bénéfice et l’exposition arrivent par le même canal d’entrée.

L’attaque visait l’autorité, pas seulement la visibilité du texte

Le texte blanc attire l’attention parce qu’il ressemble à de l’encre invisible. Le problème plus profond concerne une frontière de confiance, c’est-à-dire la séparation entre le contenu qu’une application lit et les instructions qu’elle accepte.

La dissimulation explique pourquoi une personne peut ne pas voir le contenu ; la confusion d’autorité explique pourquoi ce contenu importe dans un flux de travail d’IA.

Un document peut contenir un texte que l’affichage ordinaire rend difficile à remarquer. Selon la méthode de traitement, le logiciel peut néanmoins rencontrer ce texte. L’apparence pour l’humain et l’entrée pour la machine méritent donc un examen distinct.

L’affaire de prompt injection de Galileu illustre pourquoi l’inspection visuelle seule ne peut répondre à toutes les questions de sécurité. Une page à l’apparence normale ne révèle pas nécessairement tout ce qui est fourni à un système de traitement de texte.

L’inverse importe également. Découvrir un texte inhabituel ne prouve pas qu’un modèle lui a obéi. Une évaluation de sécurité doit distinguer la présence d’une instruction tentée des éléments relatifs à son effet.

Dans un flux de travail judiciaire, une partie extérieure doit contrôler ses propres allégations et pièces justificatives. Elle ne doit pas contrôler les critères utilisés par l’assistant pour évaluer ces éléments.

Cette distinction reste nécessaire même lorsque le document emploie un langage juridique formel. La présentation professionnelle, les signatures et l’acceptation procédurale établissent un contexte. Elles ne transforment pas chaque phrase en instruction logicielle autorisée.

Le même raisonnement explique pourquoi une règle interdisant le texte blanc serait incomplète. La présentation n’est qu’un aspect du problème. La question déterminante porte sur la capacité d’un contenu externe à rediriger l’application.

C’est là que l’incident rejoint les travaux de sécurité de l’IA commerciale. Les contrôles de Microsoft contre les attaques documentaires distinguent les attaques contenues dans des documents de celles soumises directement par un utilisateur.

Microsoft indique que ses Prompt Shields analysent les contenus fournis afin d’y détecter des schémas de manipulation. Sa documentation distingue également la détection du blocage : la configuration et l’intégration de l’application déterminent ce qui se produit après un résultat suspect.

Cette différence est importante sur le plan opérationnel. Une alerte constitue un élément indiquant qu’un composant a détecté quelque chose. Elle ne démontre pas à elle seule que chaque composant en aval a cessé d’utiliser le contenu suspect.

Les recommandations d’Anthropic sur les contenus non fiables abordent cette frontière par le filtrage des entrées et la séparation explicite entre le contenu tiers et les instructions de l’application.

L’entreprise recommande d’indiquer clairement la source et la nature des contenus récupérés. Ces recommandations décrivent une approche défensive ; elles n’établissent pas comment Galileu était configuré lorsque cette requête a été traitée.

La documentation d’aucun des deux fournisseurs ne permet de désigner un vainqueur universel en matière de sécurité juridique de l’IA. Les applications exposent des documents, des autorisations et des étapes d’examen différents. Le seul nom d’un produit ne peut établir la sécurité d’un déploiement particulier.

La comparaison utile porte sur la responsabilité tout au long du flux de travail. Le filtrage, la limitation de l’autorité, l’examen des sorties et l’escalade des incidents répondent à différents points de défaillance. Évaluer uniquement le modèle de langage sous-jacent laisse ces choix d’application sans examen.

L’incident brésilien rend cette question concrète. La frontière importante se situe entre l’examen de la soumission d’une partie et l’autorisation donnée à cette soumission de définir la manière dont l’assistant accomplit sa tâche.

Les avocates ont contesté l’objectif du prompt caché

Le récit comprend également une explication contestée. Selon le reportage de JOTA sur la défense déclarée des avocates, elles ont reconnu avoir utilisé un prompt caché.

Ils ont contesté avoir tenté une manipulation et ont décrit leur objectif comme visant à protéger leur client contre l’IA. Cette position diffère de la qualification des faits retenue par le juge.

Les inquiétudes concernant l’IA judiciaire méritent d’être examinées, mais elles ne résolvent pas le différend relatif à une intervention dissimulée.

Cette distinction importe, car la critique de l’automatisation des tribunaux peut être légitime. Les parties ont un intérêt compréhensible à savoir comment leurs écritures sont traitées et si une assistance automatisée influe sur la manière dont elles sont traitées.

Cet intérêt soulève des questions de transparence, d’exactitude et d’examen réel. Il n’établit pas automatiquement qu’une intervention cachée constitue une manière acceptable de soulever ces préoccupations.

La position du tribunal et l’explication des avocats doivent donc être présentées conjointement. Les lecteurs doivent percevoir le désaccord sans considérer l’un ou l’autre récit comme une description établie de manière indépendante du mobile.

Reconnaître avoir inséré du contenu diffère aussi de reconnaître son effet juridique ou technique recherché. Le traitement journalistique doit préserver cette distinction plutôt que de réduire le différend à de simples aveux.

L’interprétation la plus sceptique de cette affaire technologique porte sur ce qui demeure invisible. Les constatations accessibles au public décrivent le contenu suspect et la sanction. Elles ne fournissent pas une reconstitution complète de chaque interaction avec le modèle.

Sans cette reconstitution, les observateurs ne peuvent pas mesurer avec certitude comment le contenu a influencé les résumés intermédiaires, si une étape de traitement l’a rejeté, ni comment d’autres configurations se comporteraient.

Une tentative détectée permet une conclusion positive limitée : cet incident a attiré l’attention humaine. Elle n’établit pas un taux de détection général pour d’autres documents ou de futures attaques.

L’exagération inverse serait également trompeuse. L’existence d’une tentative d’attaque ne prouve pas que l’ensemble de la plateforme a échoué. Un système peut rencontrer une entrée hostile tandis que les contrôles qui l’entourent contribuent à contenir l’incident.

Cette incertitude impose une exigence élevée tant aux partisans qu’aux critiques. Les partisans ont besoin de preuves avant de présenter la détection comme une protection complète. Les critiques ont besoin de preuves avant d’affirmer que le texte caché a déterminé la décision.

Une incertitude procédurale subsiste également. La décision initiale et un compte rendu de la réponse des avocats ne permettent pas d’établir le statut final de chaque recours ou renvoi.

Les lecteurs devraient attendre les ordonnances ultérieures et les décisions disciplinaires avant de tirer des conclusions sur des sanctions durables. Un renvoi, une décision initiale et une issue professionnelle définitive restent des événements distincts.

Il en résulte une constatation claire et circonscrite. Le tribunal a considéré le contenu caché comme une tentative d’ingérence, tandis que les avocats en auraient contesté l’objectif. Des conclusions plus larges exigent des preuves allant au-delà de ce désaccord.

Une tentative déjouée laisse subsister un test plus large de responsabilité

L’affaire d’injection de prompt Galileu place la responsabilité au point de rencontre entre la responsabilité juridique et le comportement logiciel. Un tribunal peut attribuer la responsabilité d’un document déposé alors que des questions techniques demeurent sans réponse.

Sanctionner l’auteur et sécuriser le système de traitement répondent à des obligations distinctes.

L’obligation professionnelle concerne ce qu’un représentant soumet. L’obligation institutionnelle concerne la manière dont le tribunal traite des éléments qu’il ne peut supposer inoffensifs. Aucune de ces obligations ne disparaît parce que l’autre reçoit de l’attention.

Une amende entraîne des conséquences pour le comportement attribué aux professionnels ayant déposé le document. Elle n’explique pas si chaque document futur bénéficiera d’un contrôle équivalent. Cela exige des preuves concernant le système et son fonctionnement.

Les contrôles techniques connaissent une limite tout aussi importante. Même une détection efficace ne tranche pas toutes les questions de responsabilité professionnelle, d’intention ou de procédure appropriée. Celles-ci relèvent toujours des décideurs habilités.

Le défi pratique consiste à conserver un dossier reliant les deux processus. Si un contenu suspect déclenche un renvoi, l’institution doit disposer de suffisamment d’informations pour expliquer ce qui a été découvert et pourquoi cela importait.

Pour une partie concernée, une affirmation vague selon laquelle une IA a remarqué quelque chose offrirait peu de possibilités d’examen. Un compte rendu vérifiable doit distinguer le document source, la détection et toute mesure qui en découle.

Cette exigence protège également l’analyse du tribunal lui-même. Un dossier clair réduit la tentation de déduire une réussite technique de la seule présence de contenu suspect.

Le même principe s’applique aux affirmations sur les produits. Une démonstration d’un fournisseur peut montrer une réponse réussie à un exemple choisi. Elle ne peut pas établir les performances face à chaque style de document ou stratégie adversariale.

Les acheteurs devraient donc distinguer la preuve d’une capacité de la preuve d’un fonctionnement fiable. La première montre qu’un contrôle peut fonctionner. La seconde exige d’observer son comportement dans les conditions réelles du déploiement.

Les faux positifs, c’est-à-dire des éléments ordinaires incorrectement signalés comme suspects, méritent autant d’attention que les attaques manquées. Les documents juridiques discutent parfois de formulations contestées ou citent des éléments à des fins probatoires.

Un processus de réception doit préserver la possibilité d’examiner ce contenu sans lui accorder d’autorité opérationnelle. Traiter automatiquement tout passage inhabituel comme une faute créerait son propre problème d’équité.

Il s’agit d’une exigence analytique pour un traitement digne de confiance, plutôt que d’une allégation concernant la gestion par Galileu de documents légitimes. Elle découle de la nécessité d’évaluer les preuves sans permettre aux preuves de diriger l’évaluateur.

Pour les travailleurs du savoir, l’implication plus large concerne le statut des informations récupérées. Un passage peut être pertinent pour une question tout en restant non fiable comme instruction.

Pour les développeurs, l’implication concerne ce qu’ils promettent aux utilisateurs. Une affirmation selon laquelle un outil traite des documents devrait s’accompagner de preuves concernant les contenus contradictoires, l’escalade et l’examen.

Pour les institutions, l’implication concerne la responsabilité. Quelqu’un doit rester chargé de décider si un contenu suspect poursuit son parcours, est arrêté ou fait l’objet d’un examen supplémentaire. Laisser cette responsabilité implicite rend plus difficile l’enquête sur les incidents comme sur les erreurs ordinaires.

L’affaire propose donc un test concret de responsabilité. L’institution peut-elle expliquer le parcours du document dans le système de manière suffisamment claire pour permettre l’examen tant de la conduite humaine que du traitement automatisé ?

Ce qu’il faut surveiller après la décision sur le texte caché

Le Conseil national de justice du Brésil a approuvé, le 9 juin 2026, des orientations portant sur les commandes dissimulées dans les systèmes d’IA judiciaire. Son explication publiée relie cette initiative à la préservation de la sécurité juridique.

Les orientations sur la sécurité judiciaire montrent que la réponse institutionnelle dépasse le cadre d’un document individuel. La mise en œuvre reste l’élément que les lecteurs doivent examiner ensuite.

Les prochaines preuves utiles concerneront des résultats vérifiables, des contrôles testés et des changements dans la réception des documents.

Le premier signal réside dans le dossier procédural ultérieur. Au cours des prochains mois, il faudra surveiller les décisions accessibles portant sur les contestations de la sanction initiale ou sur l’issue des renvois professionnels.

Ces documents clarifieraient la durabilité et la portée de la réponse du tribunal. Une décision confirmant la sanction renforcerait sa valeur comme exemple de responsabilité.

Une décision la limitant ou l’annulant exigerait un récit plus nuancé. L’une ou l’autre évolution améliorerait les preuves disponibles au-delà de la décision initiale et des explications publiques.

Le deuxième signal est une évaluation technique liée au flux de travail déployé. Des divulgations utiles indiqueraient ce qui a été testé, ce que le système a détecté et ce qui s’est produit ensuite.

Les résultats de détection nécessitent du contexte. Les lecteurs devraient vérifier si le contenu suspect a été arrêté avant la génération, transmis à un examinateur ou est resté accessible au traitement en aval.

Les tests devraient également inclure des documents légitimes qui ressemblent à des attaques. Sinon, un système pourrait sembler efficace tout en créant des obstacles inutiles aux soumissions ordinaires.

Des preuves couvrant à la fois des contenus malveillants et bénins renforceraient la confiance dans les contrôles. Une déclaration promotionnelle ne décrivant qu’un succès sélectionné laisserait ouverte la question plus générale de la fiabilité.

Le troisième signal est la mise en œuvre visible des orientations institutionnelles. Il faudra surveiller les changements documentés dans la réception, les responsabilités d’examen attribuées et les procédures de préservation des preuves lorsqu’un contenu suspect apparaît.

De tels changements renforceraient l’argument selon lequel les tribunaux traitent cette question comme un enjeu opérationnel continu. Des orientations sans dossier clair de mise en œuvre appuieraient moins cette conclusion.

Aucun de ces signaux n’exige de prédire une annonce programmée. Il s’agit de preuves à rechercher entre novembre 2026 et le début de 2027, plutôt que d’événements déjà annoncés.

Ensemble, elles aideraient à distinguer un incident marquant d’une réponse durable. La mesure importante est de savoir si les institutions peuvent identifier les problèmes de manière répétée, expliquer leurs actions et préserver un examen équitable.

Pour toute personne évaluant une IA documentaire, cette affaire permet de poser une question concrète : que se passe-t-il lorsque le contenu source tente de diriger l’assistant ? Demandez des preuves montrant ce que l’application lit, quelle autorité elle lui attribue et où intervient l’examen humain. Recherchez une explication qui distingue la détection de la prévention et une tentative de manipulation d’un résultat modifié. L’incident d’injection de prompt Galileu justifie ce niveau de précision, car son importance repose sur une frontière que tout assistant documentaire doit maintenir. Avant de faire confiance à un résumé étayant une décision importante, examinez si le flux de travail peut montrer comment il a traité des contenus contradictoires et qui reste responsable du résultat.