Galileu 提示词注入：巴西法院就隐藏诉讼文本对律师处以罚款
Galileu 提示词注入事件导致两名巴西律师受到处罚，此前一家劳动法院在其提交的诉状中发现了隐藏指令。提示词注入是指在 AI 处理的材料中嵌入指令，以改变其行为方向。在本案中，白色背景上的白色文字使这些内容在普通人工查看时难以发现。法院将这一插入行为视为试图干扰司法工作。
该裁决于 2026 年 5 月 12 日由巴西帕拉州帕劳阿佩巴斯第三劳动法院作出。这一时间点很重要：11 月的报道涉及的是较早作出的裁决，而非新近发现的一份诉状。这一认定同样需要谨慎界定。一次试图操纵的行为，并不能证明 AI 实际遵从了指令，也不能证明其改变了判决。
核心冲突在于文档自动化与审慎审查对抗性提交材料的义务之间。Microsoft 和 Anthropic 均在其安全指南中讨论了同样的边界。法院面临的情形尤为严峻：对立双方有正当理由提交具有说服力的文件，但法官必须将这些论证与试图暗中控制软件的行为区分开来。
Galileu 提示词注入裁决实际认定了什么
这份劳动法院裁决描述称，在通过 Galileu 处理起诉书时发现了隐藏文字。更改字体颜色后，相关内容便显现出来。
法官将责任归于两名在诉状上签字的律师。裁决对两人处以相当于诉讼请求金额 10% 的连带罚款，并命令向专业及司法监督机构发出通知。
有记录的认定涉及一次试图操纵的行为，并未证明法院的 AI 被成功接管。
这一界定避免让报道超出证据所能支持的范围。发现异常、试图施加影响、成功施加影响以及司法结果发生变化，是彼此独立的主张。证明其中一点，并不会自动证明其他几点。
这种隐藏手法也改变了读者理解该诉状的方式。律师通常会要求法院接受其对事实和法律的解释。但面向软件的隐藏指令，是通过另一条渠道发挥作用的。
法院的推理将责任置于准备并签署提交材料的专业人士身上。这一认定应继续归因于法官。它并不能让外部观察者独立了解文件制作过程中的每一个环节。
基础劳动争议与处罚也需要分开看待。一方当事人是否有权获得劳动相关救济，并不决定其代理人是否妥善处理了提交材料。同样，涉及文件的不当行为，也不会自动裁定所有基础指控的是非曲直。
当技术新闻进入法律报道时，这种区分尤为重要。对 AI 攻击的戏剧化叙述，可能掩盖法官实际采取的更狭窄的程序性措施。读者既需要了解技术指控，也需要了解司法认定的边界。
可获取的裁决文件提供了超出流传社交媒体帖文的证据。它支持将该事件报道为有文件记录的法院行动。但它并未消除有关后续程序、对处罚的挑战或纪律处分结果的问题。
移交律师协会会启动独立的问责程序。不应将其描述为已经完成的纪律处分判决。对原始罚款必然维持不变的任何假设，同样应保持谨慎。
因此，最清晰的叙述需要同时把握几个要点：法院发现了隐藏内容、认定了责任并施加了处罚。有关最终纪律后果或更广泛技术成功的主张，需要各自的证据支持。
对巴西以外的读者而言，持久的重要性在于这种证据纪律。即使报道无法证明预期的操纵取得成功，一份可疑提交材料仍可能引发后果。
法院自动化让文档边界承受压力
Galileu 的设计用途与司法推理直接相关。巴西国家司法委员会在 2025 年 5 月介绍了其司法文书起草角色。
根据该说明，该系统会读取起诉书和答辩状、整理信息，并为法官建议文书草稿内容。该系统由 TRT-4 开发，已获授权在巴西各地劳动法院使用。
起草助手的输出到达对裁决负责的人之前，必须受到保护。
这一制度承诺不难理解。整理指控和回应可以减少重复性工作。结构化草稿可以帮助审阅者梳理复杂案卷。
安全问题正是从让这类助手发挥作用的同一批材料开始。各方当事人提供文件，而法院控制任务。这些角色在整个处理过程中必须保持明确区分。
诉状作为案件中的提交材料具有其权威性。但这一身份并不赋予其作者支配法院软件的权力。接收文件供审理，不应意味着接受其中嵌入的、关于助手必须如何运作的指令。
这给多个群体带来了压力。法官需要确信草稿内容反映了案卷记录。法院工作人员则需要一种可靠方式，在不丢失合法证据的前提下上报可疑内容。
开发者面临不同的义务。他们必须维持文档陈述与应用程序指令之间的界限。流畅的回应并不能证明这种界限得以保留。
采购团队也需要的不只是基于干净样本文档的演示。真正相关的问题是：当提交材料含有冲突、隐藏或误导性内容时，系统表现如何。常规准确性测试无法回答这一问题。
人工监督仍不可或缺，但其介入位置同样重要。在处理后审阅一份润色完成的草稿，与在生成前检查可疑源材料，所提供的审查机会并不相同。
审阅者或许会注意到输出中的奇怪句子。但发现一项缺失的论点更为困难，因为遗漏本身不会留下明显警示。这是一种分析性风险，而非针对本案的认定。
因此，压力并不止于法官是否签署最终裁决。它关乎工作流程是否给予法官有意义的机会，审查塑造草稿的信息。
对企业采购方而言，这种比较十分直接。合同审查助手和法院文书起草助手服务于不同机构，但两者都会处理由外部人士撰写的文档。
当AI 知识库纳入外部材料时，也会引发类似问题。可搜索性和便捷检索并不能决定某一来源是否应影响助手的行为。
部署层面的教训很具体：有用的文档访问能力，提升了对这些文档被赋予何种权限进行控制的重要性。收益与风险敞口都经由同一输入渠道而来。
攻击针对的是权限，而不只是文本可见性
白色文字之所以引人注意，是因为它像隐形墨水。更深层的问题涉及信任边界，即应用程序读取的材料与其接受的指令之间的分隔。
隐藏解释了人为什么可能漏看这些内容；权限混淆则解释了这些内容为何会对 AI 工作流程构成影响。
文档可以包含在普通查看时难以察觉的文字。视处理方式而定，软件仍可能读取这些文字。因此，人工呈现与机器输入值得分别审视。
Galileu 提示词注入案说明，仅靠视觉检查无法回答所有安全问题。一页看似正常的文档，并不一定揭示文本处理系统接收到的全部内容。
反过来同样如此。发现异常文字并不能证明模型遵从了它。安全评估必须区分试图施加指令的存在，与有关其实际效果的证据。
在法院工作流程中，外部当事人应当控制自己的指控及支持材料。但他们不应控制助手评估这些材料时采用的标准。
即便文件使用正式法律语言，这一区分也依然必要。专业格式、签名和程序性受理确立的是语境，而非将每一句话都转化为经授权的软件指令。
同样的推理也解释了，为何禁止白色文字的规则并不完整。呈现方式只是问题的一个方面。关键问题在于外部内容能否改变应用程序的行为方向。
这正是该事件与商业 AI 安全工作产生关联之处。Microsoft 的文档攻击控制机制区分了文档内的攻击与用户直接提交的攻击。
Microsoft 表示，其 Prompt Shields 会分析所提供材料中的操纵模式。其文档还区分了检测与拦截：在发现可疑结果后采取何种行动，取决于应用程序的配置与集成。
这种差异在运营层面十分重要。警报只能证明某个组件注意到了异常。它本身并不能证明每一个下游组件都停止使用可疑材料。
Anthropic 的不受信任内容指南则通过输入筛查，以及将第三方内容与应用程序指令明确分离的方式来处理这一边界。
该公司建议明确说明检索材料的来源和性质。这些建议描述的是一种防御方法；它们并不能证明在处理这份诉状时 Galileu 的配置方式。
两家厂商的文档都不足以支持宣称法律 AI 安全领域存在普遍赢家。不同应用接触的文档、权限和审查阶段各不相同。仅凭产品名称无法证明某一具体部署的安全性。
有价值的比较在于整个工作流程中的责任分配。筛查、限制权限、审查输出和上报事件针对的是不同的失效节点。若只评估底层语言模型，这些应用层面的选择便无法得到审视。
巴西事件让这一问题变得具体。关键边界在于审议一方提交的材料，与允许该材料定义助手如何执行任务之间的区别。
律师对隐藏提示词的目的提出异议
相关叙述还包含一种存在争议的解释。根据 JOTA 对律师所述辩护理由的报道，两名律师承认使用了隐藏提示词。
他们否认试图操纵系统，并称其目的是保护客户免受 AI 的影响。这一立场与法官对该行为的定性不同。
对司法 AI 的担忧值得审视，但这并不能化解围绕隐蔽干预的争议。
这一区别很重要，因为对法院自动化的批评可以是正当的。当事人有理由希望了解其提交材料如何被处理，以及自动化辅助是否会影响其受到的对待。
这种关切引出了透明度、准确性和有效审查等问题。但它并不能自动证明，隐蔽干预是提出这些关切的可接受方式。
因此，法院的立场和律师的解释应当一并呈现。读者应当看到双方的分歧，而不应将任何一方的说法视为已被独立证实的动机描述。
承认插入材料，也不同于承认其预期产生的法律或技术效果。报道应保留这一差异，而不应将争议压缩为简单的自认。
对这起技术事件最有力的质疑性解读，聚焦于仍未公开的部分。公开可得的裁定描述了可疑内容和处罚措施，但并未完整重建每一次模型交互。
在缺乏这种重建的情况下，观察者无法有把握地衡量这些材料如何影响中间摘要、是否有任何处理阶段拒绝了它们，或不同配置会如何表现。
一次被发现的尝试只能支持一个有限的正面结论：这起事件进入了人工注意范围。它并不能证明其他文件或未来攻击中的普遍检出率。
反向的夸大同样会造成误导。一次攻击尝试的存在，并不意味着整个平台失效。系统可能遭遇恶意输入，同时其周边控制措施有助于遏制事件。
这种不确定性为支持者和批评者都设定了严格标准。支持者在将检测描述为全面保护之前需要证据。批评者在声称隐蔽文本控制了裁决之前同样需要证据。
程序上也存在不确定性。原始裁决以及关于律师回应的报道，无法确定每一项申诉或移交程序的最终状态。
读者在就持续性制裁得出结论之前，应关注后续法院命令和纪律处分决定。移交、初步裁决和最终职业处分仍是不同事件。
由此可以得出一项清晰且有边界的结论：法院将隐蔽材料视为试图干预，而据报道律师对其目的提出异议。更广泛的结论需要超出这一分歧的证据。
一次被发现的尝试，留下了更大的问责考验
Galileu 提示注入事件将问责问题置于法律责任与软件行为的交汇点。法院可以就一份提交材料认定责任，同时技术问题仍未得到解决。
制裁作者与保障处理系统安全，处理的是不同的义务。
职业义务涉及代理人提交了什么。机构义务涉及法院如何处理不能被假定为无害的材料。任何一项义务都不会因为另一项受到关注而消失。
罚款会对归因于提交材料的专业人士的行为产生后果。但它并不能说明每一份未来文件是否都会接受同等程度的筛查。这需要有关系统及其运行的证据。
技术控制也面临同样重要的限制。即使检测有效，也无法决定职业责任、意图或适当程序的所有问题。这些仍应由有权作出决定的人处理。
实际挑战在于维持一份能够连接这两项流程的记录。如果可疑内容触发移交，机构需要有足够的信息说明发现了什么，以及其重要性何在。
对于受影响的一方而言，一句含糊的“AI 注意到了什么”几乎无法提供审查机会。一份可审查的说明应区分源文件、检测行为以及由此产生的任何行动。
这一要求也保护了法院自身的分析。清晰的记录能够减少仅凭可疑材料的存在就推断技术成功的诱惑。
同一原则也适用于产品宣传。供应商演示可以展示对特定示例的成功响应，但不能证明其在所有文件风格或对抗策略下的表现。
因此，采购方应区分能力证据与可靠运行证据。前者证明某项控制措施可以发挥作用；后者则要求观察它在实际部署条件下的表现。
误报，即将普通材料错误标记为可疑内容，也应与漏检攻击一同受到关注。法律文件有时会讨论存在争议的措辞，或为证据目的引用相关材料。
接收流程必须保留审查这些内容的能力，同时不赋予其操作性权威。自动将每一段异常文字都视为不当行为，会带来其自身的公平性问题。
这是一项用于确保处理可信赖的分析要求，而不是对 Galileu 如何处理合法文件的指控。它源于这样一种需要：在评估证据时，不能允许证据指挥评估者。
对于知识工作者而言，更广泛的含义涉及检索信息的地位。一段文字可以与问题相关，同时仍不应被信任为指令。
对于开发者而言，含义涉及他们向用户作出的承诺。声称工具可以处理文件，应当附带关于冲突内容、升级处理和审查的证据。
对于机构而言，含义涉及责任归属。必须有人持续负责决定可疑材料是继续流转、停止处理，还是接受进一步审查。将这一责任隐而不言，会使事件和普通错误都更难调查。
因此，该案例提供了一项具体的问责测试：该机构能否充分说明文件在系统中的流转路径，以支持对人类行为和自动化处理的审查？
隐藏文本裁决之后应关注什么
巴西国家司法委员会于 2026 年 6 月 9 日批准了针对司法 AI 系统中隐蔽指令的指导意见。其公布的说明将这项倡议与维护法律确定性联系起来。
这份司法安全指导意见表明，机构回应已超出单个提交文件。实施情况仍是读者接下来应审视的问题。
接下来有价值的证据，涉及可审查的结果、经过测试的控制措施，以及文件接收流程内部的变化。
第一个信号是后续程序记录。在未来几个月内，应关注可公开获取的裁决，了解其是否处理了对原处罚的质疑，或专业移交程序的结果。
这些记录将澄清法院回应的持久性和范围。确认该处罚的裁决，将增强其作为问责范例的价值。
缩小或推翻该裁决的决定，则需要更具限定性的说明。无论出现哪一种进展，都会改善超出初步裁决和公开说明之外的可用证据。
第二个信号是与已部署工作流程相联系的技术评估。有价值的披露应说明测试了什么、系统检测到了什么，以及之后发生了什么。
检测结果需要背景。读者应关注可疑内容是在生成之前被阻止、交由审查人员处理，还是仍可供下游处理使用。
测试还应包括与攻击相似的合法文件。否则，系统可能看似有效，却为普通提交材料制造不必要的障碍。
涵盖恶意和良性材料的证据，会增强人们对控制措施的信心。仅描述某个精选成功案例的宣传声明，仍会让更广泛的可靠性问题悬而未决。
第三个信号是机构指导意见的可见实施。应关注已记录的接收流程变化、明确指派的审查责任，以及出现可疑材料时保存证据的程序。
此类变化将强化这样一种观点：法院正将此视为持续性的运营问题。没有清晰实施记录的指导意见，对这一结论的支持力度会较弱。
这些信号都不需要预测某项已安排的公告。它们是在 2026 年 11 月至 2027 年初期间应当寻找的证据，而不是已经承诺会发生的事件。
综合来看，它们将有助于区分一次令人印象深刻的事件与持久的应对措施。重要的衡量标准是，机构能否持续识别问题、解释其行动，并保留公平审查。
对于任何评估文档 AI 的人，请借此案例提出一个具体问题：当源材料试图指挥助手时，会发生什么？要求提供证据，说明应用程序读取什么、赋予其何种权威，以及人工审查在何处介入。寻找能够区分检测与预防、操纵尝试与结果改变的解释。Galileu 提示注入事件值得达到这一精确程度，因为其重要性取决于每一个文档助手都必须维持的一条边界。在信任支持重大决定的摘要之前，应考察该工作流程能否说明其如何处理冲突材料，以及谁仍应对结果负责。
