Prompt injection em petições judiciais: necessidade de criação de um novo tipo penal

Alvaro Augusto Orione Souza

A inteligência artificial é, sem dúvidas, a grande revolução tecnológica do nosso século. Há áreas em que não chega a surpreender que a ela gere tremendos benefícios, como aqueles proporcionados à própria ciência da computação. Na medicina, por exemplo, a I.A. tem propiciado diagnósticos muito mais rápidos e precisos, além de recomendações de tratamento mais eficazes a uma miríade de doenças, enquanto no setor financeiro, a velocidade de processamento de dados, proporcionada pela I.A., tem melhorado tomadas de decisão, e influenciado estratégias de investimento.

Nas ciências humanas e sociais, o direito entre elas, talvez possa haver uma certa crença, algo inocente, de que, não importa quão boa se torne a inteligência artificial, ela nunca poderá substituir as pessoas. No entanto, é inegável o impacto que a I.A. vem tendo até mesmo sobre as artes, talvez o reduto último da máxima expressão do espírito humano, o que tem levado inclusive atores de Hollywood a registrarem marca sobre sua voz, aparência e bordões, ante o receio de que a I.A. acabe por tornar o ator, algo obsoleto e dispensável na produção de um filme.

Seria, portanto, o cúmulo da arrogância, mesmo para os muitas vezes vistos já como “arrogantes” operadores do Direito, imaginar que o seu ofício não seria profundamente impactado pela inteligência artificial. Petições e contratos já podem ser inteiramente redigidos por I.A., com mínima interferência humana, havendo, inclusive, cursos oferecidos no mercado, para capacitar profissionais ao uso da inteligência artificial na advocacia.

E é óbvio que, num país de elevadíssima litigiosidade, como o Brasil, em que o “excesso de processos” parece ser um problema “desde sempre e para sempre”, como se aqueles condenados a operar o Direito, no Brasil, não tivessem chance de um sistema judicial célere e eficiente, não tardaria para que os Tribunais adotassem a inteligência artificial como ferramenta para tentar dar maior celeridade ao processamento das demandas que os abarrotam.

Assim, as Cortes, país afora, vêm implementando assistentes de I.A. que auxiliam na triagem, no resumo de processos e petições, e até na elaboração de minutas, o que já levou o Conselho Nacional de Justiça a editar a Resolução 615/2025, para estabelecer diretrizes para o desenvolvimento, utilização e governança de soluções desenvolvidas com recursos de inteligência artificial no Poder Judiciário.

Contudo, o uso de inteligência artificial pelos Tribunais deu origem ao fenômeno do prompt injection. Prompt é, no jargão computacional, o comando que se dá à ferramenta de I.A.. Advogados maliciosos, cientes do uso de ferramentas de I.A. pelos Tribunais perante os quais atuam, passaram a injetar prompts invisíveis ao olho humano, em suas petições ou documentos juntados aos autos, a fim de tentar manipular, em seu benefício, a assistente de I.A. utilizada pelo Tribunal.

A prática foi primeiro noticiada pelo Tribunal Regional do Trabalho da 8ª Região, mas foi rapidamente detectada, também, no acervo de processos do Superior Tribunal de Justiça, que assim definiu prompt injection:

“O prompt injection é uma técnica que tenta enganar os modelos de IA, em especial os grandes modelos de linguagem (LLMs). O ataque ocorre quando comandos são inseridos em documentos comuns, como petições ou recursos, de forma invisível ao olho humano.

Como a IA processa texto para entender o contexto e responder a comandos (prompts), um usuário pode inserir instruções maliciosas no meio de uma petição, tentando forçar o sistema a ignorar regras de análise fornecidas pelo usuário, de modo a favorecer uma das partes.”

O comando malicioso pode ser inserido, por exemplo, através da redação de ordens, direcionadas às ferramenta de I.A., em letra branca, sobre fundo branco – tornando-as invisíveis ao olho humano – e pode conter comandos para que determinados pontos da petição do advogado não sejam contestados, ou para que um determinado precedente repetitivo, aplicável ao caso, não o seja, dentre outras ordens com a finalidade de induzir a ferramenta de I.A. a direcionar o Juízo a uma decisão diversa da que deveria ser tomada.

Os episódios já identificados de prompt injection têm sido sancionados, processualmente, com a aplicação da litigância de má-fé àqueles que têm tentado tapear os Tribunais. Mas o fenômeno suscita, também, a imputação de ilícito penal a esses advogados ofensores, que inserem prompts maliciosos em suas petições.

E aí surge a questão: qual, então, seria o crime praticado por esses advogados? A matéria é muito nova, mas parece estar se formando um entendimento de que, pelo menos diante da legislação atualmente existente, os casos de prompt injection poderiam ser enquadrados no crime de fraude processual, previsto no artigo 347 do Código Penal:

Art. 347 – Inovar artificiosamente, na pendência de processo civil ou administrativo, o estado de lugar, de coisa ou de pessoa, com o fim de induzir a erro o juiz ou o perito:
Pena – detenção, de três meses a dois anos, e multa.
Parágrafo único – Se a inovação se destina a produzir efeito em processo penal, ainda que não iniciado, as penas aplicam-se em dobro.

A tipificação, em tese, como fraude processual, parece ter sido a solução inicial adotada pelo Superior Tribunal de Justiça e pelos primeiros comentários que surgem sobre a matéria. As primeiras recomendações técnicas dos próprios Tribunais parecem ir pelo mesmo caminho, como a Nota Técnica CIJMG Nº 19/2026, do Centro de Inteligência da Justiça de Minas Gerais, órgão do TJMG, segundo a qual:

“Em sua forma mais grave, a utilização de prompts ocultos pode mesmo configurar, em tese, o crime de fraude processual, tipificado no art. 347 do Código Penal, segundo o qual constitui delito inovar artificiosamente, na pendência de processo civil ou administrativo, o estado de lugar, de coisa ou de pessoa, com o fim de induzir a erro o juiz ou o perito. Ao inserir comandos ocultos, o agente inova artificiosamente o estado de documento juntado ao processo para a consecução de outra finalidade, com o fim específico de induzir a erro o juiz, deturpando a formação de sua convicção sobre a matéria fático-jurídica em causa.”

A nosso ver, no entanto, a tipificação como fraude processual oferece problemas. O crime em questão exige uma inovação artificiosa, no estado de lugar, coisa ou pessoa, na pendência do processo. Então, o documento que é adulterado antes de ser juntado ao processo; ou as instalações da fábrica que são modificadas antes da chegada do perito trabalhista; ou mesmo a alteração da cena do crime, antes da chegada da polícia – esses são exemplos clássicos de fraude processual.

Agora pense-se no prompt injection. Ele, certamente, não seria a inovação artificiosa do estado de um lugar ou de uma pessoa – se o comando oculto é inserido numa peça juntada ao processo, só poderia ser a inovação artificiosa do estado de uma coisa.

Até aí, talvez não houvesse problema no enquadramento ao tipo penal, se o comando invisível fosse inserido num documento juntado pelo advogado, mas não elaborado por ele – um documento que já existia, teria sido adulterado com a inclusão do prompt em letras brancas sobre fundo branco.

Mas e se, como é muito mais provável que ocorra, o prompt injection vier na petição do advogado. A petição é uma criação do próprio advogado, não é uma coisa que existisse antes de ser redigida por ele, e que, portanto, pudesse ter seu estado inovado artificiosamente.

A não ser que se pudesse tomar, como a coisa artificiosamente inovada, a própria ferramenta de I.A. do Tribunal. Mas daí pode surgir uma questão que talvez o operador do direito não tenha o cabedal técnico para responder – este autor, certamente, não o tem – a de saber se o comando malicioso, ao tentar direcionar o resultado do trabalho da I.A., altera o estado da própria ferramenta ou apenas explora uma funcionalidade que a própria ferramenta já tem, a de receber comandos e aplicá-los ao seu trabalho.

No entanto, ainda que essas questões todas pudessem ser deixadas de lado, há outra inconveniência, oferecida pela redação do tipo penal de fraude processual, muito mais difícil de se contornar: exceto em matéria criminal, a inovação artificiosa precisa acontecer na pendência do processo – o que significa que o processo precisa já existir, para que o prompt injection possa ser enquadrado como fraude processual.

Isso pode não ser um problema, quando a prática se dá em petição direcionada a algum Tribunal, de segunda instância ou Superior. Mas e quando o prompt injection vier na petição inicial da reclamação trabalhista, ou da ação de direito do consumidor? Sabe-se que é nessas duas searas, em que normalmente se pratica uma advocacia de massa, que esta mais tem se degenerado em advocacia predatória, sendo, sem dúvida, o campo mais fértil para a proliferação do prompt injection judicial, e aquele com maior potencial de prejudicar grandes empresas, caso os comandos maliciosos efetivamente atinjam o seu objetivo, de distorcer as decisões judiciais em favor de quem os insere.

O Direito Penal não admite “jeitinhos” ou “acochambradas”, quando se trata da tipificação de crimes. Quando a petição inicial é apresentada, não existe processo pendente, pois este só se inicia a partir daquela – o que poderia afastar o tipo penal de fraude processual, das hipóteses de prompt injection praticado na petição inicial.

No entanto, talvez o maior problema da tipificação do prompt injection enquanto fraude processual seja a brandura da pena cominada a esse delito. Excetuados, mais uma vez, os casos criminais, a fraude processual carrega uma pena máxima de dois anos, o que faz dela uma infração de menor potencial ofensivo, nos termos do artigo 61 da Lei 9.099/1995 – um caso para o JECRIM, suscetível de ser resolvido por mera transação penal. Para não falar no alto risco de prescrição em abstrato, durante a condução de uma investigação com potencial de ser demorada, dada a complexidade das imbricações técnicas do prompt injection, e a renitência que se pode esperar da defesa de investigados que são, eles mesmos, advogados.

Alcançada a conclusão de que a fraude processual não seria o tipo penal mais adequado, para a tipificação do prompt injection, talvez o impulso natural, a sugestão na ponta da língua de muitos operadores do Direito, quanto ao crime praticado por quem adota essa prática, seria a de que a conduta deveria ser enquadrada como uma forma de estelionato.

Todo o contexto do prompt injection praticado em petições judiciais parece gravitar, naturalmente, em direção à ideia de um estelionato – o advogado ofensor, afinal, não está tentando “enganar” o Poder Judiciário, para obter uma vantagem?

Mas a eventual tipificação do prompt injection praticado pelo advogado, no processo, como estelionato, implicaria um dilema moral seríssimo, para o Poder Judiciário.

Inicialmente, é preciso ter em mente que tentar levar o Juiz a tomar a decisão errada não é crime. Se partirmos da ideia de que, num processo litigioso, uma das partes terá razão e a outra não, então procurar que o Juiz tome a decisão errada é, literalmente, o que fazem metade de todos os advogados, em todos os litígios apresentados ao Poder Judiciário.

É, na realidade, da essência do modelo democrático, o direito que todo cidadão tem de pleitear, ao Judiciário, o que entende sejam os seus direitos – ainda que não tenha razão. Somando-se a isso o fato de que, por vezes, os Juízes tomarão, mesmo, a decisão errada – porque uma das partes não se desincumbiu do seu ônus da prova, ou porque a outra foi mais convincente nos seus argumentos – e é esse o motivo de o chamado estelionato judicial – o ato de efetivamente levar o juiz a decidir da maneira equivocada – ser pacificamente entendido como atípico.

Guardemos essa ideia.

De outro norte, a redação típica do estelionato exige que o engodo se direcione a enganar uma pessoa, na medida em que o crime ocorre quando se induz ou mantém alguém em erro:

Art. 171 – Obter, para si ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento:
Pena – reclusão, de 1 (um) a 5 (cinco) anos, e multa.

Não que se descarte a possibilidade de, num futuro nem tão distante assim, a sociedade precisar se haver com esse debate filosófico, mas, ao menos por enquanto, parece inquestionável que, não importa quão avançados possam ser, assistentes de inteligência artificial (ainda) não são pessoas. Então, a pessoa que se pretende enganar, no prompt injection, para que possamos falar em estelionato, seria o Juiz?

Aqui se chega ao dilema ético, que a tipificação do prompt injection como estelionato representaria para o Poder Judiciário.

Sem nem ao menos que isso precisasse estar escrito em lugar nenhum, assoma como um imperativo verdadeiramente moral, decorrente da própria garantia constitucional de inafastabilidade da jurisdição, a de que a jurisdição não se afaste da função de julgar os casos que lhe são apresentados. Em outras palavras, no que interessa ao tema, que o Juiz não deixe de ler e de ser o responsável último pela decisão tomada, não importa até que ponto tenha se utilizado de um assistente de I.A. para auxiliá-lo nesse trabalho.

Não por outra razão, a já mencionada Resolução nº 615/2025, do Conselho Nacional de Justiça, estabelece, em seu art. 19, inciso II (destacamos):

II – o uso dessas ferramentas será de caráter auxiliar e complementar, consistindo em mecanismos de apoio à decisão, vedada a utilização como instrumento autônomo de tomada de decisões judiciais sem a devida orientação, interpretação, verificação e revisão por parte do magistrado, que permanecerá integralmente responsável pelas decisões tomadas e pelas informações nelas contidas;

Essa obrigatoriedade vem sendo reproduzida pelas recomendações técnicas dos Tribunais, país afora, do que é exemplo, mais uma vez, a Nota Técnica CIJMG Nº 19/2026, do TJMG (destacamos):

b) Adoção do protocolo Human-in-the-loop (HITL): A tecnologia atua como assistente, não como substituta da cognição judicial. É obrigatória a observância rigorosa do protocolo de conferência final, garantindo que a ‘última palavra’ seja sempre do ser humano. A leitura crítica e a validação integral do texto gerado pela IA pela equipe do gabinete neutralizam os efeitos de eventuais injections que tenham conseguido burlar os filtros técnicos iniciais, garantindo que nenhuma informação enviesada ou comando subversivo integre o provimento jurisdicional.

O que significa que, mesmo com o uso de ferramentas de I.A., ainda é dever do magistrado conferir as minutas das decisões que assina.

Com isso em mente, e retornando ao crime de estelionato, é uma exigência elementar, para a configuração do delito, que a fraude aplicada tenha a aptidão de enganar a pessoa a quem se destina. Não por outra razão, a tipificação do crime deve ser afastada, quando o objeto fraudado necessariamente deva ser submetido a conferência, e o engodo aplicado não se mostre apto a enganar o agente fiscalizador.

Rememore-se o que têm sido os casos de prompt injection já desmascarados pelos Tribunais: um comando malicioso, invisível a olho nu, que pretende induzir a I.A. a não aplicar um precedente repetitivo que seria aplicável ao caso, ou a não contestar os argumentos fracos da petição do advogado.

Pergunta-se, o Juiz de Direito, revisando a minuta rascunhada pela I.A., acaso não detectaria que o precedente vinculante foi aplicado da maneira errada? Ou não perceberia que os argumentos do advogado não são suficientes para embasar a decisão que a inteligência artificial propôs?

O desejo de enganar a I.A., por meio do prompt injection, vem do fato, justamente, de que ela é programada para aplicar, de maneira automática, entendimentos e precedentes que já são pacificados. E se são pacificados, qualquer desvio em relação aos mesmos deveria causar alerta ao magistrado.

Se um prompt injection produzir um resultado que não cause estranheza ao Juiz, no momento da revisão, é porque então a aplicação do precedente vinculante, ao caso, não era tão pacífica assim, ou os argumentos do advogado poderiam tanto convencer, como não convencer o magistrado – o que redundaria, ainda que a decisão tomada fosse a errada, numa hipótese do apelidado estelionato judicial, que não é crime.

Ou seja, a única forma de o prompt injection poder ser tipificado como estelionato, é se o Poder Judiciário admitir que seus Juízes não leem as minutas das decisões produzidas pelos assistentes de I.A..

Mas o fato de que a decisão precisa ser revisada pelo magistrado não significa que a prática do prompt injection não deveria ser crime. Pelos efeitos deletérios que a inserção de comandos maliciosos ocultos pode ter sobre o uso e funcionamento, pelo Poder Judiciário, dessa inovação tão valiosa, que é a inteligência artificial, assim como pelo elevado desvalor da conduta de advogados que tentam trapacear em seus processos, o prompt injection precisa, sim, de uma resposta penal.

Ela apenas, ao que parece, não é ainda satisfatoriamente encontrada, entre os crimes atualmente previstos em nossa legislação, e demanda a edição de um novo tipo penal específico, que descreva a conduta do prompt injection de maneira que o crime não dependa da indução de alguém em erro; e cominando-lhe uma pena à altura da gravidade dessa prática.