Galileu Prompt Injection：ブラジルの裁判所、隠しテキストを含む書面提出をめぐり弁護士に罰金
Galileuのプロンプトインジェクションをめぐり、ブラジルの労働裁判所が提出書面内の隠された指示を認定した後、2人の弁護士に制裁が科された。プロンプトインジェクションとは、AIが処理する資料に指示を埋め込み、その挙動を別の方向へ誘導する手法を指す。この事案では、白い背景に白い文字を使うことで、通常の人間の閲覧では見えないように資料が隠されていた。裁判所は、この挿入を司法業務への介入を試みたものと扱った。
判決は、ブラジル・パラー州のパラウアペバス第3労働裁判所が2026年5月12日に言い渡した。この時期は重要である。11月の報道は、新たに発見された提出書面ではなく、以前の判断に関するものだからだ。この認定にも慎重な線引きが必要である。操作の試みがあったからといって、AIがそれに従った、あるいは判決を変えたことまでは立証されない。
中心となる対立は、文書自動化と、対立当事者からの提出物を精査すべき証拠として扱う義務との間にある。MicrosoftとAnthropicも、それぞれのセキュリティガイダンスで同じ境界を扱っている。裁判所は特に難しい課題に直面する。対立当事者は説得的な文書を正当に提出できる一方、裁判官はそうした主張と、ソフトウェアを制御しようとする隠された試みとを区別しなければならない。
Galileuのプロンプトインジェクション判決が実際に認定したこと
労働裁判所の判決は、Galileuを通じて訴状を処理する過程で発見された隠しテキストについて説明している。フォントの色を変更すると、その内容が現れた。
裁判官は、訴状に署名した2人の弁護士に責任があると認定した。判決は請求額の10%に相当する連帯罰金を科し、職能団体および司法監督機関への通知を命じた。
記録された認定は、裁判所のAIの乗っ取りが成功したことを立証しない、操作の試みに関するものである。
この区別により、証拠が示す以上に事件を大きく扱うことを避けられる。発見、影響を及ぼそうとする試み、影響の成功、そして司法判断の変更は、それぞれ別の主張である。1つが立証されても、他が自動的に立証されるわけではない。
この隠蔽は、読者が当該書面をどう理解すべきかも変える。弁護士は日常的に、事実や法律に関する自らの解釈を受け入れるよう裁判所に求める。しかし、ソフトウェアに向けられた隠し指示は、別の経路を通じて作用する。
裁判所の理由付けは、提出書面を作成・署名した専門職に責任を置いている。この認定は裁判官に帰属するものとして扱うべきだ。外部の観察者に対し、文書作成に関わるあらゆる過程について独自の知識を与えるものではない。
根底にある労働紛争と制裁も、別々に扱う必要がある。当事者が雇用に関する救済を受ける権利があるかどうかは、その代理人が適切に書面を扱ったかどうかを決めるものではない。同様に、文書に関する不正行為があったとしても、根本にあるすべての主張の当否が自動的に決着するわけではない。
テクノロジーの話題が法廷報道に入る際、この分離は重要になる。AI攻撃についての劇的な説明は、裁判官が実際に取った、より限定的な手続上の措置を覆い隠しかねない。読者には技術的な疑義と、司法判断の限界の両方が必要だ。
閲覧可能な判決文は、流通しているソーシャルメディア投稿を超える証拠を提供している。この事案を、記録された裁判所の措置として報じることを裏付ける。一方で、その後の手続、制裁への異議、懲戒処分の結果についての疑問までは解消しない。
弁護士会への付託は、別個の説明責任プロセスの始まりとなる。それを完了した懲戒判断として説明すべきではない。当初の罰金が必ず変更されずに残ったとみなすことにも、同じ慎重さが必要である。
したがって、最も明確な説明では複数の点を併せて扱う必要がある。裁判所は隠された資料を特定し、責任を帰属させ、制裁を科した。最終的な懲戒上の結果や、より広い技術的成功についての主張には、それぞれ独自の証拠が必要となる。
ブラジル以外の読者にとって、持続的な意義はこの証拠上の規律にある。報道が意図された操作の成功を立証していない場合でも、疑わしい提出書面は結果を招き得る。
裁判所の自動化が文書の境界に圧力をかける
Galileuは、司法判断に直接隣接する業務のために設計された。ブラジル国家司法評議会は2025年5月、司法文書作成における役割を説明している。
その説明によれば、このシステムは訴状と答弁書を読み、情報を整理し、裁判官向けの草案資料を提案する。TRT-4が開発し、ブラジル全土の労働裁判所での利用が認可された。
文書作成支援ツールには、その出力が決定の責任者に届く前の保護が必要である。
制度上の期待は理解できる。主張と反論を整理すれば、反復的な作業を減らせる。構造化された草案は、複雑な記録を確認者が読み解く助けになる。
セキュリティ上の問題は、支援ツールを有用にするまさにその資料から始まる。当事者が文書を提供し、裁判所がタスクを管理する。こうした役割は、処理の全過程を通じて明確に分離されなければならない。
提出書面は、事件内での提出物として権威を持つ。しかし、その地位が作成者に裁判所のソフトウェアに対する権限を与えることはない。文書を検討対象として受理することは、支援ツールの動作方法について埋め込まれた指示を受け入れることを意味してはならない。
これは複数の関係者に圧力を生む。裁判官には、草案資料が記録を反映しているという信頼が必要だ。裁判所職員には、正当な証拠を失わずに疑わしい内容をエスカレーションする信頼できる手段が必要となる。
開発者には別の義務がある。文書の記述とアプリケーションの指示との区別を維持しなければならない。流暢な応答だけでは、その区別が保たれたかどうかは分からない。
調達チームにも、問題のないサンプル文書を用いたデモだけでは不十分だ。重要な問いは、提出書面に矛盾、隠蔽、または誤解を招く資料が含まれる場合の性能にある。通常の精度テストでは、この問いに答えられない。
人による監督は不可欠だが、その配置が重要である。処理後に洗練された草案を確認することと、生成前に疑わしい原資料を検査することでは、精査の機会が異なる。
確認者は、出力に含まれる不自然な文に気づくかもしれない。しかし、欠落した主張を検出するのはより難しい。欠落には明白な警告が残らないからだ。これは分析上のリスクであり、この特定の事案についての認定ではない。
したがって、この圧力は裁判官が最終判断に署名するかどうかを超える。草案を形作る情報を、その裁判官が意味のある形で検査する機会をワークフローが与えているかどうかに関わる。
企業の購入担当者にとって、この比較は直ちに当てはまる。契約レビュー支援ツールと裁判所の文書作成支援ツールは異なる制度に仕えるが、どちらも外部者が作成した文書を処理する。
外部資料を取り込む場合、AIナレッジベースも関連する問いを提起する。検索可能性や便利な取得機能は、ソースが支援ツールの挙動に影響を与えるべきかどうかを決めるものではない。
導入に向けた教訓は具体的だ。有用な文書アクセスは、その文書にどのような権限を与えるかを管理する重要性を高める。利点とリスクは、同じ取り込み経路を通じて到来する。
攻撃の標的は、テキストの可視性だけでなく権限だった
白い文字が注目を集めるのは、見えないインクに似ているからだ。より深い問題は信頼境界、すなわちアプリケーションが読む資料と受け入れる指示との分離に関わる。
隠蔽は人が資料を見落とす理由を説明する。一方、権限の混同は、その資料がAIワークフローにとって重要となる理由を説明する。
文書には、通常の表示では気づきにくいテキストが含まれ得る。処理方法によっては、ソフトウェアはそのテキストに遭遇する可能性がある。したがって、人間に見える外観と機械への入力は分けて検討すべきである。
Galileuのプロンプトインジェクション事案は、視覚的な検査だけではすべてのセキュリティ上の問いに答えられない理由を示している。一見すると通常のページでも、テキスト処理システムに供給されるすべてを明らかにするとは限らない。
逆もまた重要である。不自然なテキストを見つけたからといって、モデルがそれに従ったことは立証されない。セキュリティ評価では、指示の試みが存在することと、その効果に関する証拠とを区別しなければならない。
裁判所のワークフローでは、外部当事者は自らの主張と裏付け資料を管理すべきだ。それらの資料を評価する支援ツールの基準まで管理すべきではない。
文書が正式な法的用語を使っている場合でも、この区別は必要である。専門的な体裁、署名、手続上の受理は文脈を確立する。しかし、それらが文書内のすべての文を認可されたソフトウェア指示に変えるわけではない。
この論理は、白い文字を禁じるだけでは不完全である理由も説明する。表示形式は問題の一側面にすぎない。決定的な問いは、外部コンテンツがアプリケーションを別の方向へ誘導できるかどうかにある。
ここで、この事案は商用AIセキュリティの取り組みと接続する。Microsoftの文書攻撃対策は、文書内の攻撃と、ユーザーが直接送信する攻撃とを区別している。
Microsoftによれば、Prompt Shieldsは提供された資料を分析し、操作パターンを検出する。同社の文書はまた、検出とブロックを区別している。疑わしい結果の後に何が起きるかは、アプリケーションの設定と統合によって決まる。
この違いは運用上重要である。アラートは、あるコンポーネントが何かに気づいた証拠である。それだけで、下流のすべてのコンポーネントが疑わしい資料の利用を停止したことを示すわけではない。
Anthropicの信頼できないコンテンツに関するガイダンスは、入力スクリーニングと、第三者コンテンツをアプリケーション指示から明示的に分離することを通じて、この境界に取り組んでいる。
同社は、取得した資料の出所と性質を明確にすることを推奨している。これらの推奨は防御的なアプローチを説明するものであり、この提出書面が処理された際にGalileuがどのように設定されていたかを立証するものではない。
どちらのベンダーの文書も、法務AIセキュリティにおける普遍的な勝者を宣言する根拠にはならない。アプリケーションごとに公開される文書、権限、レビュー段階は異なる。製品名だけで、特定の導入の安全性を立証することはできない。
有用な比較は、ワークフロー全体における責任に関わる。スクリーニング、権限の制限、出力のレビュー、インシデントのエスカレーションは、それぞれ異なる障害点に対処する。基盤となる言語モデルだけを評価しても、こうしたアプリケーション上の選択は検討されないままだ。
ブラジルの事案は、この問題を具体化している。重要な境界は、当事者の提出物を検討することと、その提出物に支援ツールのタスク遂行方法を定義させることとの間にある。
弁護士らは隠しプロンプトの目的を争った
この説明には、争いのある釈明も含まれる。弁護士らが表明した弁明に関するJOTAの報道によれば、弁護士らは隠しプロンプトを使用したことを認めた。
彼らは操作を試みたとの見方を否定し、目的は依頼人をAIから守ることだったと説明した。この立場は、裁判官による行為の位置付けとは異なる。
司法におけるAIへの懸念は精査に値するが、秘匿された介入をめぐる争いを解決するものではない。
裁判所の自動化に対する批判は正当であり得るため、この区別は重要だ。当事者には、自身の提出書類がどのように処理され、自動化された支援が扱いに影響しているのかを知る理解可能な利害がある。
こうした利害は、透明性、正確性、実質的な審査についての問題を生む。しかし、秘匿された介入がそうした懸念を提起するための許容される手段であることを、直ちに立証するものではない。
したがって、裁判所の立場と弁護士らの説明は併せて示されるべきである。読者は、いずれの説明も動機について独自に確立された記述として扱うことなく、この見解の相違を理解できるべきだ。
資料を挿入したことについての認めも、その法的または技術的効果を意図したことについての認めとは異なる。報道は、この相違を保ち、争いを単純な自白へと圧縮すべきではない。
技術に関する報道を最も懐疑的に読むなら、焦点となるのは依然として見えていない部分だ。公開されている認定は、不審な内容と制裁について説明している。しかし、あらゆるモデルとの相互作用を完全に再構成しているわけではない。
その再構成がなければ、観察者は、資料が中間的な要約にどの程度影響したのか、処理段階のいずれかがそれを拒否したのか、代替的な構成ではどのように挙動するのかを、確信をもって測定できない。
検知された試みは、限定的ながら肯定的な結論を支える。この事案は人間の注意に届いたということだ。それは、他の文書や将来の攻撃における一般的な検知率を立証するものではない。
逆方向の過大評価も誤解を招く。攻撃が試みられたという事実は、プラットフォーム全体が失敗したことを示すものではない。システムは敵対的な入力に遭遇し得る一方、その周辺の統制が事案の封じ込めに役立つこともある。
この不確実性は、支持者と批判者の双方に厳しい基準を課す。支持者は、検知を包括的な保護として示す前に証拠を必要とする。批判者は、秘匿されたテキストが判断を左右したと主張する前に証拠を必要とする。
手続上の不確実性もある。原決定と弁護士らの応答に関する報道だけでは、異議申立てや付託のすべてについて最終的な状況を確定できない。
読者は、継続的な制裁について結論を出す前に、その後の裁判所命令や懲戒上の決定を確認すべきである。付託、当初の判断、最終的な職業上の処分は、依然として異なる出来事だ。
ここから導かれる認定は明確で限定的である。裁判所は秘匿された資料を干渉の試みとして扱い、弁護士らは報じられるところではその目的を争った。より広い結論には、この見解の相違を超える証拠が必要となる。
検知された試みが残す、より大きな説明責任の課題
Galileuのプロンプトインジェクション事案は、法的責任とソフトウェアの挙動が交わる地点で説明責任を問うものだ。技術的な疑問が未解決のままでも、裁判所は提出書類に対する責任を割り当てられる。
作成者への制裁と処理システムの保護は、別個の義務に対応する。
職業上の義務は、代理人が何を提出するかに関わる。制度上の義務は、裁判所が無害とは仮定できない資料をどのように扱うかに関わる。一方が注目を集めたからといって、他方の義務が消えるわけではない。
罰金は、提出した専門家に帰属する行為に結果をもたらす。しかし、将来のすべての文書が同等のスクリーニングを受けるかどうかは説明しない。そのためには、システムとその運用に関する証拠が必要だ。
技術的統制にも同様に重要な限界がある。効果的な検知であっても、職業上の責任、意図、適切な手続をめぐるすべての問題を決定するわけではない。それらは引き続き、権限を与えられた意思決定者の事項である。
実務上の課題は、二つのプロセスを結び付ける記録を維持することだ。不審な内容が付託を引き起こす場合、制度側には何が発見され、なぜ重要だったのかを説明できる十分な情報が必要となる。
影響を受ける当事者にとって、AIが何かを見つけたという曖昧な説明では、精査の機会はほとんど得られない。検証可能な説明では、元の文書、検知、そしてその結果として取られた行動を区別すべきである。
この要件は、裁判所自身の分析も守る。明確な記録は、不審な資料が存在したことだけから技術的成功を推論したくなる誘惑を減らす。
同じ原則は製品の主張にも当てはまる。ベンダーによるデモンストレーションは、選択された例に対する成功した応答を示すことができる。しかし、あらゆる文書形式や敵対的戦略にわたる性能を立証することはできない。
したがって購入者は、能力の証拠と信頼できる運用の証拠を区別すべきである。前者は統制が機能し得ることを示す。後者には、実際の展開条件の下でどのように挙動するかを観察する必要がある。
通常の資料を誤って不審と判定するフォールスポジティブは、見逃された攻撃と並んで注意を要する。法的文書では、争点となっている表現を論じたり、証拠上の理由で資料を引用したりすることがある。
受付プロセスは、その内容を運用上の権限として扱わずに精査できる能力を維持しなければならない。異例の文章をすべて自動的に不正行為と扱えば、それ自体が公平性の問題を生む。
これは、Galileuが正当な文書をどのように扱ったかについての申し立てではなく、信頼できる処理のための分析上の要件である。証拠が評価者を導くことを許さずに証拠を評価する必要性から導かれる。
ナレッジワーカーにとって、より広い含意は取得された情報の位置付けに関わる。ある文章は、質問に関連していても、指示としては信頼できないままであり得る。
開発者にとっての含意は、ユーザーに何を約束するかに関わる。ツールが文書を扱うという主張には、矛盾する内容、エスカレーション、レビューに関する証拠が伴うべきだ。
制度にとっての含意は、責任の所在に関わる。不審な資料を進めるのか、止めるのか、さらなる調査に回すのかについて、誰かが責任を持って決定しなければならない。その責任を暗黙のままにすると、事案も通常の誤りも調査しにくくなる。
したがって、この事案は具体的な説明責任の試金石を示している。制度は、人間の行為と自動処理の両方を精査できるよう、文書がシステムを通過した経路を十分に説明できるだろうか。
秘匿テキストに関する判断後に注目すべきこと
ブラジル国家司法評議会は、2026年6月9日、司法AIシステムにおける秘匿コマンドに対応するガイダンスを承認した。公表された説明は、この取り組みを法的安定性の維持と結び付けている。
司法セキュリティに関するガイダンスは、制度上の対応が個別の提出書類を超えることを示している。次に読者が検討すべき論点は実施状況だ。
次に有用な証拠は、検証可能な結果、試験された統制、そして文書受付プロセス内の変更に関するものだ。
第一の兆候は、その後の手続記録である。今後数か月にわたり、当初の制裁に対する異議申立てや専門職上の付託の結果を扱う、アクセス可能な決定に注目すべきだ。
こうした記録は、裁判所の対応の持続性と範囲を明らかにする。制裁を支持する決定は、説明責任の例としての価値を強めるだろう。
これを限定または覆す決定が出れば、より留保のある説明が必要になる。いずれの展開も、当初の判断と公の説明を超えて利用可能な証拠を改善する。
第二の兆候は、導入済みのワークフローに結び付いた技術評価である。有用な開示では、何を試験し、システムが何を検知し、その後に何が起きたのかが示されるだろう。
検知結果には文脈が必要だ。読者は、不審な内容が生成前に停止されたのか、レビュー担当者に届いたのか、あるいは下流の処理で利用可能なままだったのかを確認すべきである。
試験には、攻撃に似ている正当な文書も含めるべきだ。そうしなければ、通常の提出に不必要な障壁を作りながら、システムが有効に見えるおそれがある。
悪意のある資料と無害な資料の両方にわたる証拠は、統制への信頼を強める。選ばれた成功例だけを示す広報声明では、より広い信頼性の問題は未解決のままとなる。
第三の兆候は、制度上のガイダンスが目に見える形で実施されていることだ。不審な資料が現れた際の、文書化された受付変更、割り当てられたレビュー責任、証拠保全の手続に注目すべきである。
こうした変更は、裁判所がこれを継続的な運用上の問題として扱っているという論拠を強める。明確な実施記録のないガイダンスでは、その結論を支える根拠はより弱くなる。
これらの兆候はいずれも、予定された発表を予測することを必要としない。これらは、すでに約束された出来事ではなく、2026年11月から2027年初頭にかけて探すべき証拠である。
これらを合わせることで、印象的な単発事案と持続的な対応を区別しやすくなる。重要な尺度は、制度が問題を繰り返し特定し、自らの行動を説明し、公平な審査を維持できるかどうかだ。
文書AIを評価するすべての人は、この事例を用いて具体的な問いを立てるべきである。ソース資料がアシスタントに指示を与えようとした場合、何が起こるのか。アプリケーションが何を読み、どのような権限を与え、人間によるレビューがどこで入るのかを示す証拠を求めよう。検知と防止、操作の試みと結果の変更を区別する説明を探すべきだ。Galileuのプロンプトインジェクション事案がこの水準の精密さを要するのは、その重要性が、あらゆる文書アシスタントが維持しなければならない境界にかかっているためである。重大な判断を支える要約を信頼する前に、ワークフローが相反する資料をどのように処理したか、そして誰が結果への責任を負い続けるのかを示せるかを確認すべきである。
