Prompt Injection no Galileu: Tribunal Brasileiro Multa Advogadas por Texto Oculto em Petição

O prompt injection no Galileu resultou em sanções contra duas advogadas brasileiras após um tribunal trabalhista identificar instruções ocultas em sua petição. Prompt injection consiste em inserir instruções em um material processado por uma IA para redirecionar seu comportamento. Neste caso, texto branco sobre fundo branco ocultava o material da visualização humana comum. O tribunal tratou a inserção como uma tentativa de interferência no trabalho judicial.

A decisão veio da Terceira Vara do Trabalho de Parauapebas, no estado do Pará, em 12 de maio de 2026. Esse momento importa: a cobertura de novembro diz respeito a uma decisão anterior, e não a uma petição recém-descoberta. A constatação também exige uma delimitação cuidadosa. Uma manipulação tentada não comprova que uma IA a seguiu nem que ela alterou uma sentença.

O conflito central contrapõe a automação de documentos à obrigação de tratar manifestações adversariais como provas que exigem análise. Microsoft e Anthropic abordam esse mesmo limite em suas orientações de segurança. Os tribunais enfrentam uma versão especialmente exigente do problema: partes opostas apresentam legitimamente documentos persuasivos, enquanto juízes precisam distinguir esses argumentos de tentativas ocultas de controlar software.

O que a decisão sobre prompt injection no Galileu realmente estabeleceu

A decisão do tribunal trabalhista descreve texto oculto descoberto durante o processamento da petição inicial pelo Galileu. A alteração da cor da fonte revelou o material.

O juiz atribuiu responsabilidade às duas advogadas que assinaram a petição. A decisão impôs uma multa solidária equivalente a 10% do valor da causa e determinou notificações a órgãos de fiscalização profissional e judicial.

A constatação documentada refere-se a uma tentativa de manipulação, sem estabelecer que houve controle bem-sucedido da IA do tribunal.

Essa distinção impede que a história se torne maior do que as evidências disponíveis. Descoberta, tentativa de influência, influência bem-sucedida e alteração de um resultado judicial são alegações distintas. Estabelecer uma delas não estabelece automaticamente as demais.

A ocultação também muda a forma como os leitores devem compreender a petição. Advogados normalmente pedem aos tribunais que aceitem sua interpretação dos fatos e do direito. Uma instrução oculta direcionada a software opera por um canal diferente.

O raciocínio do tribunal atribui responsabilidade às profissionais que prepararam e assinaram a manifestação. Essa constatação deve permanecer atribuída ao juiz. Ela não dá a observadores externos conhecimento independente de cada etapa envolvida na criação do documento.

A disputa trabalhista subjacente e a sanção também exigem tratamento separado. O direito de uma parte a uma reparação relacionada ao emprego não determina se seus representantes lidaram adequadamente com uma petição. Da mesma forma, uma conduta imprópria envolvendo um documento não resolve automaticamente o mérito de todas as alegações subjacentes.

Essa separação importa quando uma história de tecnologia entra na cobertura jurídica. Um relato dramático de um ataque de IA pode obscurecer a medida processual mais restrita que um juiz de fato tomou. Os leitores precisam tanto da alegação técnica quanto dos limites da constatação judicial.

A decisão acessível fornece evidências que vão além de uma publicação circulando nas redes sociais. Ela sustenta a cobertura do incidente como uma medida judicial documentada. Não elimina dúvidas sobre procedimentos posteriores, contestações da sanção ou desfechos disciplinares.

Um encaminhamento à ordem dos advogados inicia um processo separado de responsabilização. Ele não deve ser descrito como uma decisão disciplinar concluída. A mesma cautela se aplica a qualquer suposição de que a multa original necessariamente permaneceu inalterada.

O relato mais claro, portanto, reúne vários pontos. O tribunal identificou material oculto, atribuiu responsabilidade e impôs sanções. Alegações sobre consequências disciplinares definitivas ou sucesso técnico mais amplo exigem suas próprias evidências.

Para leitores fora do Brasil, a importância duradoura está nessa disciplina probatória. Uma petição suspeita pode gerar consequências mesmo quando a cobertura não estabelece que sua manipulação pretendida teve êxito.

A automação judicial pressiona o limite dos documentos

O Galileu foi projetado para tarefas diretamente relacionadas ao raciocínio judicial. O Conselho Nacional de Justiça do Brasil descreveu seu papel na elaboração de decisões judiciais em maio de 2025.

Segundo esse relato, o sistema lê petições iniciais e defesas, organiza informações e sugere material de rascunho para juízes. Desenvolvido pelo TRT-4, recebeu autorização para uso em todos os tribunais trabalhistas do Brasil.

Um assistente de redação precisa de proteção antes que sua saída chegue à pessoa responsável pela decisão.

A promessa institucional é compreensível. Organizar alegações e respostas pode reduzir o trabalho repetitivo. Um rascunho estruturado pode ajudar um revisor a navegar por um processo complexo.

A questão de segurança começa com o mesmo material que torna o assistente útil. As partes fornecem os documentos, enquanto o tribunal controla a tarefa. Esses papéis devem permanecer distintos durante todo o processamento.

Uma petição tem autoridade como manifestação dentro de um processo. Esse status não concede a seu autor autoridade sobre o software do tribunal. Aceitar um documento para análise jamais deve significar aceitar instruções incorporadas sobre como o assistente deve operar.

Isso pressiona diversos grupos. Juízes precisam confiar que o material de rascunho reflita os autos. Servidores do tribunal precisam de uma forma confiável de encaminhar conteúdo suspeito sem perder provas legítimas.

Os desenvolvedores enfrentam uma obrigação diferente. Eles precisam preservar a distinção entre as declarações de um documento e as instruções da aplicação. Uma resposta fluente não demonstra se essa distinção foi preservada.

As equipes de aquisição também precisam de mais do que uma demonstração com documentos de exemplo limpos. A questão relevante diz respeito ao desempenho quando uma manifestação contém material conflitante, oculto ou enganoso. Testes comuns de precisão deixam essa questão sem resposta.

A supervisão humana permanece essencial, mas sua posição importa. Revisar um rascunho refinado após o processamento cria uma oportunidade de escrutínio diferente daquela de inspecionar material-fonte suspeito antes da geração.

Um revisor pode perceber uma frase estranha em uma saída. Detectar um argumento ausente é uma tarefa mais difícil, pois a omissão não deixa um aviso evidente. Trata-se de um risco analítico, não de uma constatação sobre este caso específico.

A pressão, portanto, vai além de saber se um juiz assina a decisão final. Ela diz respeito a se o fluxo de trabalho dá a esse juiz uma oportunidade significativa de inspecionar as informações que moldam o rascunho.

Para compradores corporativos, a comparação é imediata. Um assistente de revisão contratual e um assistente de redação judicial atendem instituições diferentes, mas ambos processam documentos escritos por pessoas externas.

Uma base de conhecimento de IA levanta uma questão relacionada quando incorpora material externo. A possibilidade de busca e a recuperação conveniente não determinam se uma fonte deve influenciar o comportamento de um assistente.

A lição para a implantação é específica: o acesso útil a documentos aumenta a importância de controlar qual autoridade esses documentos recebem. O benefício e a exposição chegam pelo mesmo canal de entrada.

O ataque visava a autoridade, não apenas a visibilidade do texto

O texto branco chama atenção porque se assemelha a tinta invisível. A questão mais profunda envolve um limite de confiança, isto é, a separação entre o material que uma aplicação lê e as instruções que ela aceita.

A ocultação explica por que uma pessoa poderia não perceber o material; a confusão de autoridade explica por que o material importa para um fluxo de trabalho de IA.

Um documento pode conter texto que a visualização comum torna difícil de perceber. Dependendo do método de processamento, o software ainda pode encontrar esse texto. A aparência humana e a entrada da máquina, portanto, merecem análise separada.

O caso de prompt injection no Galileu ilustra por que a inspeção visual isolada não pode responder a todas as questões de segurança. Uma página de aparência normal não revela necessariamente tudo o que foi fornecido a um sistema de processamento de texto.

O inverso também importa. Encontrar texto incomum não estabelece que um modelo obedeceu a ele. Uma avaliação de segurança deve distinguir a presença de uma instrução tentada das evidências sobre seu efeito.

Em um fluxo de trabalho judicial, uma parte externa deve controlar suas próprias alegações e materiais de apoio. Ela não deve controlar os critérios do assistente para avaliar esses materiais.

Essa distinção continua necessária mesmo quando o documento usa linguagem jurídica formal. Formatação profissional, assinaturas e aceitação processual estabelecem contexto. Elas não transformam cada frase em uma instrução de software autorizada.

O mesmo raciocínio explica por que uma regra contra texto branco seria incompleta. A apresentação é apenas um aspecto do problema. A questão central diz respeito a se conteúdo externo pode redirecionar a aplicação.

É aqui que o incidente se conecta ao trabalho comercial de segurança em IA. Os controles contra ataques em documentos da Microsoft distinguem ataques dentro de documentos de ataques enviados diretamente por um usuário.

A Microsoft afirma que seus Prompt Shields analisam o material fornecido em busca de padrões de manipulação. Sua documentação também distingue detecção de bloqueio: a configuração e a integração da aplicação determinam o que acontece após um resultado suspeito.

Essa diferença é operacionalmente importante. Um alerta é evidência de que um componente percebeu algo. Ele não demonstra, por si só, que todos os componentes posteriores deixaram de usar o material suspeito.

As orientações da Anthropic sobre conteúdo não confiável abordam esse limite por meio de triagem de entradas e separação explícita entre conteúdo de terceiros e instruções da aplicação.

A empresa recomenda deixar claras a fonte e a natureza do material recuperado. Essas recomendações descrevem uma abordagem defensiva; elas não estabelecem como o Galileu estava configurado quando essa petição foi processada.

A documentação de nenhum dos fornecedores sustenta a declaração de um vencedor universal em segurança jurídica de IA. Aplicações diferentes expõem documentos, permissões e etapas de revisão diferentes. O nome de um produto, por si só, não pode estabelecer a segurança de uma implantação específica.

A comparação útil diz respeito à responsabilidade ao longo do fluxo de trabalho. Triar, restringir autoridade, revisar saídas e escalar incidentes abordam pontos de falha diferentes. Avaliar apenas o modelo de linguagem subjacente deixa essas escolhas da aplicação sem exame.

O incidente brasileiro torna essa questão concreta. O limite importante está entre considerar a manifestação de uma parte e permitir que essa manifestação defina como o assistente desempenha sua tarefa.

As advogadas contestaram a finalidade do prompt oculto

O relato também inclui uma explicação contestada. Segundo a cobertura do JOTA sobre a defesa declarada pelas advogadas, elas reconheceram o uso de um prompt oculto.

Eles contestaram que estivessem tentando manipular o sistema e descreveram seu objetivo como proteger seu cliente da IA. Essa posição diverge da caracterização da conduta feita pelo juiz.

A preocupação com a IA judicial merece escrutínio, mas não resolve a disputa sobre uma intervenção oculta.

A distinção importa porque críticas à automação dos tribunais podem ser legítimas. As partes têm um interesse compreensível em saber como suas manifestações são processadas e se a assistência automatizada afeta o modo como são tratadas.

Esse interesse levanta questões sobre transparência, precisão e revisão efetiva. Ele não estabelece automaticamente que uma intervenção oculta constitui uma forma aceitável de levantar essas preocupações.

A posição do tribunal e a explicação dos advogados devem, portanto, aparecer juntas. Os leitores devem enxergar a divergência sem tratar nenhuma das versões como uma descrição independente e comprovada do motivo.

Uma admissão de que material foi inserido também difere de uma admissão sobre seu efeito jurídico ou técnico pretendido. A cobertura deve preservar essa diferença, em vez de resumir a disputa como uma simples confissão.

A leitura cética mais forte da história tecnológica diz respeito ao que permanece invisível. As conclusões disponíveis publicamente descrevem o conteúdo suspeito e a sanção. Elas não fornecem uma reconstrução completa de cada interação com o modelo.

Sem essa reconstrução, observadores não podem medir com segurança como o material afetou resumos intermediários, se alguma etapa de processamento o rejeitou ou como configurações alternativas se comportariam.

Uma tentativa detectada sustenta uma conclusão positiva limitada: este incidente chegou à atenção humana. Isso não estabelece uma taxa geral de detecção em outros documentos ou ataques futuros.

O exagero inverso também seria enganoso. A existência de uma tentativa de ataque não demonstra que toda a plataforma falhou. Um sistema pode encontrar uma entrada hostil enquanto seus controles ao redor ajudam a conter o incidente.

Essa incerteza cria um padrão exigente tanto para defensores quanto para críticos. Defensores precisam de evidências antes de apresentar a detecção como proteção abrangente. Críticos precisam de evidências antes de alegar que o texto oculto controlou a decisão.

Há também uma incerteza processual. A decisão original e uma reportagem sobre a resposta dos advogados não podem estabelecer o status final de cada recurso ou encaminhamento.

Os leitores devem procurar decisões judiciais posteriores e decisões disciplinares antes de tirar conclusões sobre sanções duradouras. Um encaminhamento, uma decisão inicial e um desfecho profissional final continuam sendo eventos distintos.

Isso deixa uma conclusão clara e delimitada. O tribunal tratou o material oculto como tentativa de interferência, enquanto os advogados teriam contestado sua finalidade. Conclusões mais amplas exigem evidências além dessa divergência.

Uma tentativa interceptada deixa um teste maior de responsabilização

A história da injeção de prompt no Galileu coloca a responsabilização no ponto em que a responsabilidade jurídica encontra o comportamento do software. Um tribunal pode atribuir responsabilidade por uma petição enquanto questões técnicas permanecem sem resposta.

Sancionar o autor e proteger o sistema de processamento tratam de obrigações separadas.

A obrigação profissional diz respeito ao que um representante apresenta. A obrigação institucional diz respeito a como o tribunal lida com material que não pode presumir benigno. Nenhuma das obrigações desaparece porque a outra recebe atenção.

Uma multa cria consequências para uma conduta atribuída aos profissionais que apresentaram o documento. Ela não explica se todo documento futuro receberá uma triagem equivalente. Isso exige evidências sobre o sistema e sua operação.

Os controles técnicos enfrentam um limite igualmente importante. Mesmo uma detecção eficaz não decide todas as questões de responsabilidade profissional, intenção ou procedimento apropriado. Essas continuam sendo matérias para decisores autorizados.

O desafio prático é manter um registro que conecte os dois processos. Se um conteúdo suspeito desencadeia um encaminhamento, a instituição precisa de informações suficientes para explicar o que foi encontrado e por que isso importou.

Para uma parte afetada, uma declaração vaga de que uma IA percebeu algo ofereceria pouca oportunidade de escrutínio. Um relato passível de revisão deve distinguir o documento de origem, a detecção e qualquer ação resultante.

Essa exigência também protege a própria análise do tribunal. Um registro claro reduz a tentação de inferir sucesso técnico apenas pela presença de material suspeito.

O mesmo princípio se aplica às alegações sobre produtos. Uma demonstração de fornecedor pode mostrar uma resposta bem-sucedida a um exemplo selecionado. Ela não pode estabelecer desempenho em todos os estilos de documento ou estratégias adversariais.

Os compradores devem, portanto, distinguir evidência de capacidade de evidência de operação confiável. A primeira mostra que um controle pode funcionar. A segunda exige observar como ele se comporta nas condições reais da implantação.

Falsos positivos, ou seja, material comum sinalizado incorretamente como suspeito, merecem atenção junto com ataques não detectados. Documentos jurídicos às vezes discutem linguagem contestada ou citam material por razões probatórias.

Um processo de recebimento deve preservar a capacidade de examinar esse conteúdo sem lhe conceder autoridade operacional. Tratar automaticamente toda passagem incomum como má conduta criaria seu próprio problema de equidade.

Trata-se de uma exigência analítica para um processamento confiável, e não de uma alegação sobre a forma como Galileu lida com documentos legítimos. Ela decorre da necessidade de avaliar evidências sem permitir que as evidências dirijam o avaliador.

Para trabalhadores do conhecimento, a implicação mais ampla diz respeito ao status das informações recuperadas. Uma passagem pode ser relevante para uma questão e, ainda assim, permanecer não confiável como instrução.

Para desenvolvedores, a implicação diz respeito ao que prometem aos usuários. A alegação de que uma ferramenta lida com documentos deve vir acompanhada de evidências sobre conteúdo conflitante, escalonamento e revisão.

Para instituições, a implicação diz respeito à responsabilidade. Alguém deve continuar responsável por decidir se o material suspeito avança, é interrompido ou recebe análise adicional. Deixar essa responsabilidade implícita torna tanto os incidentes quanto os erros comuns mais difíceis de investigar.

O caso, portanto, oferece um teste concreto de responsabilização. A instituição consegue explicar o percurso do documento pelo sistema de forma suficiente para sustentar o escrutínio tanto da conduta humana quanto do processamento automatizado?

O que observar após a decisão sobre o texto oculto

O Conselho Nacional de Justiça do Brasil aprovou orientações para lidar com comandos ocultos em sistemas judiciais de IA em 9 de junho de 2026. Sua explicação publicada relaciona a iniciativa à preservação da segurança jurídica.

As orientações de segurança judicial mostram que a resposta institucional vai além de uma petição individual. A implementação continua sendo a questão que os leitores devem examinar em seguida.

As próximas evidências úteis dizem respeito a resultados passíveis de revisão, controles testados e mudanças no recebimento de documentos.

O primeiro sinal é o registro processual subsequente. Nos próximos meses, observe decisões acessíveis que tratem de contestações à sanção original ou do resultado de encaminhamentos profissionais.

Esses registros esclareciam a durabilidade e o alcance da resposta do tribunal. Uma decisão que confirme a sanção reforçaria seu valor como exemplo de responsabilização.

Uma decisão que a restrinja ou revogue exigiria um relato mais qualificado. Qualquer um dos desdobramentos melhoraria as evidências disponíveis além da decisão inicial e das explicações públicas.

O segundo sinal é uma avaliação técnica vinculada ao fluxo de trabalho implantado. Divulgações úteis identificariam o que foi testado, o que o sistema detectou e o que aconteceu depois.

Os resultados de detecção precisam de contexto. Os leitores devem verificar se o conteúdo suspeito foi interrompido antes da geração, chegou a um revisor ou permaneceu disponível para processamento posterior.

Os testes também devem incluir documentos legítimos que se assemelhem a ataques. Caso contrário, um sistema poderia parecer eficaz enquanto cria barreiras desnecessárias para manifestações comuns.

Evidências em materiais maliciosos e benignos reforçariam a confiança nos controles. Uma declaração publicitária que descreva apenas um sucesso selecionado deixaria em aberto a questão mais ampla da confiabilidade.

O terceiro sinal é a implementação visível das orientações institucionais. Observe mudanças documentadas no recebimento, responsabilidades de revisão atribuídas e procedimentos para preservar evidências quando surgir material suspeito.

Essas mudanças reforçariam o argumento de que os tribunais estão tratando isso como uma questão operacional contínua. Orientações sem um registro claro de implementação ofereceriam menos suporte para essa conclusão.

Nenhum desses sinais exige prever um anúncio agendado. São evidências a serem buscadas entre novembro de 2026 e o início de 2027, e não eventos já prometidos.

Juntos, eles ajudariam a separar um incidente memorável de uma resposta duradoura. A medida importante é se as instituições conseguem identificar repetidamente problemas, explicar suas ações e preservar uma revisão justa.

Para qualquer pessoa que avalie IA para documentos, use este caso para fazer uma pergunta concreta: o que acontece quando o material de origem tenta orientar o assistente? Peça evidências que mostrem o que o aplicativo lê, que autoridade atribui e onde entra a revisão humana. Procure uma explicação que diferencie detecção de prevenção e uma manipulação tentada de um resultado alterado. O incidente de injeção de prompt no Galileu justifica esse nível de precisão porque sua importância se apoia em um limite que todo assistente de documentos deve manter. Antes de confiar em um resumo que sustenta uma decisão consequente, examine se o fluxo de trabalho consegue mostrar como lidou com material conflitante e quem permanece responsável pelo resultado.