Prompt injection no STJ: por que comandos ocultos geram multas mesmo sem funcionar

Os comandos ocultos em petições podem gerar sanções no Superior Tribunal de Justiça (STJ) mesmo sem conseguir alterar uma análise por inteligência artificial. Em 20 de outubro de 2026, a Primeira Turma impôs multa pessoal de R$ 20 mil no total aos advogados constituídos no AREsp 3.095.458, após identificar instruções invisíveis destinadas a orientar ferramentas de IA em favor de um recurso. O voto relata que, em testes do próprio tribunal, os comandos foram tratados como texto e não influenciaram a análise. Para o colegiado, a irregularidade estava na tentativa encoberta de interferência e na quebra de lealdade processual, não na comprovação de uma decisão manipulada.

O que foi encontrado no recurso de outubro

A Secretaria de Processamento de Feitos do STJ certificou duas inserções de conteúdo semelhante em pontos distintos de uma página. Segundo o voto do ministro Paulo Sérgio Domingues, havia texto em branco sobre fundo branco e outra cópia na cor da faixa decorativa do rodapé, posicionada sobre ela. Uma camada tinha fonte de 0,8 ponto, enquanto a parte visível da peça utilizava aproximadamente 7 a 10,5 pontos. Também havia palavras artificialmente fragmentadas por espaços.

O conteúdo oculto empregava verbos imperativos para orientar uma manifestação favorável ao conhecimento e ao provimento do recurso especial, isto é, à aceitação de seu exame e ao acolhimento do pedido. Esses trechos não eram simples argumentos apresentados abertamente à parte contrária e ao julgador: pretendiam funcionar como instruções para o processamento automático do documento. O julgamento manteve o insucesso do recurso, que não foi conhecido, e negou provimento ao agravo interno.

Por que isso é prompt injection, e não apenas redação com IA

Prompt injection, ou injeção de instruções, ocorre quando texto recebido como dado tenta assumir o papel de ordem para um modelo de linguagem. Neste contexto, a petição é informação a ser analisada pelo sistema de apoio, não uma fonte autorizada a determinar como ele deve se comportar. Quando instruções são escondidas dentro desse arquivo, trata-se de uma tentativa de injeção indireta.

O projeto de segurança OWASP descreve esse risco em sistemas que leem arquivos ou páginas externas: conteúdo não confiável pode alterar saídas se a aplicação não mantiver separadas as instruções do sistema e os documentos examinados. A presença de texto invisível ao leitor humano não demonstra, por si, que o modelo o obedeceu. São perguntas diferentes: o conteúdo foi inserido? Foi processado? Mudou a saída? Houve efeito sobre a decisão judicial?

Três julgamentos de 2026, três respostas distintas

O STJ informou em 20 de maio de 2026 que vinha detectando e certificando tentativas e que faria apurações. Em 1º de setembro, duas turmas julgaram episódios diferentes; em 20 de outubro, a Primeira Turma examinou o AREsp 3.095.458. A comparação abaixo preserva a diferença entre multa processual, comunicação a órgãos e eventual investigação posterior.

O que disseram as defesas e como os ministros responderam

No caso de outubro, o advogado que assinou e protocolou a petição afirmou que coordenara sua elaboração e que os demais profissionais constituídos não participaram da preparação final. Disse não conseguir determinar quando o texto entrou no arquivo. Sustentou que poderia ser resíduo de uma ferramenta usada na redação, que as frases apenas repetiam teses jurídicas já expostas e que nunca pretendeu manipular o STJ Logos. Também invocou os testes em que o conteúdo não teria influenciado a ferramenta.

Paulo Sérgio Domingues não acolheu essa explicação: considerou relevantes as duas cópias, os modos diferentes de dissimulação, o tamanho extremamente pequeno da fonte e a linguagem imperativa. O voto aplicou a multa total aos advogados constituídos, sem individualizar naquele julgamento quem inseriu cada trecho; reservou essa apuração individual à OAB e ao MPF em suas esferas próprias.

Os outros casos não tiveram defesa idêntica. No julgamento da Segunda Turma, o procurador municipal negou má-fé e atribuiu o comando a um erro de teclado, argumento rejeitado pelo relator. Na Sexta Turma, a defesa declarou surpresa com o comando e informou a adoção de medidas de conformidade. Essas alegações são versões dos envolvidos, não conclusões técnicas independentes.

O ataque funcionou? O que o registro técnico permite afirmar

Não há demonstração de que a tentativa de outubro tenha direcionado a decisão. A manifestação da defesa, reproduzida no voto, menciona certificação de testes realizados no STJ Logos em que os comandos foram tratados como texto da petição, sem interferência na análise. O relator considerou esse resultado compatível com a proteção do sistema, mas frisou que a falha da tentativa não tornava a conduta regular. O recurso não foi conhecido e o agravo interno foi desprovido.

Em maio, o STJ descreveu três camadas de proteção do STJ Logos: separação entre instruções e dados na entrada, delimitação do escopo de comandos e revisão de conformidade na saída. São informações institucionais sobre o desenho de segurança, não um teste independente realizado pela DTech nem garantia de proteção absoluta contra todas as variantes de ataque. A OWASP recomenda controles de entrada e saída, isolamento de conteúdos externos e supervisão humana em ações sensíveis.

O voto de outubro determinou um relatório técnico complementar com conteúdo oculto, propriedades do arquivo, metadados, registros de auditoria e medidas para preservar a cadeia de custódia. A determinação não equivale a afirmar que o relatório já foi concluído, que se identificou a autoria material da inserção ou que foram verificados resultados técnicos de todos os episódios de 2026.

Por que a falta de eficácia não impede sanções

A análise jurídica não depende somente de provar que uma IA acatou as ordens. O voto considerou que esconder instruções fora da leitura convencional prejudica a transparência da petição e a possibilidade de contraditório, isto é, de as partes conhecerem e contestarem o que foi submetido ao julgamento. Os deveres gerais de boa-fé e cooperação estão nos artigos 5º e 6º do Código de Processo Civil (CPC), e os artigos 77 e 80 tratam de deveres processuais e condutas de má-fé. A multa aplicada no caso da Segunda Turma foi vinculada pelo tribunal ao artigo 81.

O voto de outubro, por sua vez, invocou os incisos IV e VI do artigo 77 para caracterizar ato atentatório à dignidade da Justiça e impor multa pessoal total aos advogados constituídos. Há uma ressalva jurídica importante: o parágrafo 6º do artigo 77 prevê tratamento específico da responsabilidade disciplinar de advogados em relação às multas descritas nos parágrafos 2º a 5º. Portanto, a multa pessoal noticiada é o resultado desse julgamento concreto, não uma fórmula automática ou uma controvérsia interpretativa já resolvida para todos os casos.

Em outras palavras, o desfecho técnico, a admissibilidade do recurso e a possível responsabilidade pela forma de apresentação da peça são questões distintas. É possível reprovar a conduta processual sem sustentar que a decisão judicial foi produzida ou modificada por uma IA.

O que acontece depois da multa

Na decisão de outubro, o STJ determinou preservar o arquivo original, seus elementos de integridade digital e o texto extraído, além de produzir documentação complementar. Também ordenou remeter material à OAB do Paraná para avaliar providências ético-disciplinares e ao Ministério Público Federal para examinar medidas de sua competência. A remessa não comprova, por si, abertura de processo disciplinar, denúncia criminal ou condenação penal. O voto separou expressamente essas apurações do julgamento do agravo interno.

Os registros consultados sustentam as decisões e determinações até o marco de 20 de outubro de 2026, mas não estabelecem o resultado de procedimentos futuros. Tampouco permitem dizer que usar IA para preparar petições seja, por si só, proibido: o voto distingue expressamente o apoio legítimo à redação do uso encoberto da tecnologia para tentar comandar o sistema do tribunal.

A consequência prática para quem produz e processa documentos

Para profissionais do Direito, a lição documental é conferir a integridade do arquivo efetivamente protocolado, inclusive camadas de texto extraível que não apareçam na visualização comum, e revisar materiais produzidos ou convertidos com auxílio de IA. Para quem desenvolve sistemas de análise, a medida central é impedir que texto extraído de uma petição ganhe autoridade sobre as instruções do modelo, mantendo registros auditáveis e verificação humana.

Essas precauções não demonstram que todo arquivo com texto escondido seja malicioso; exigem examinar conteúdo, contexto e evidências. Nos casos do STJ, a sanção ou o encaminhamento decorreu da avaliação judicial de comandos ocultos direcionados a um resultado processual, com defesas apresentadas e consequências diferentes em cada processo.

Fontes e referências

• STJ: julgamento da Primeira Turma em 20/10/2026
• STJ: voto do relator no AREsp 3.095.458 (PDF)
• STJ: providências da Sexta Turma em setembro
• STJ: multa decidida pela Segunda Turma em setembro
• STJ: comunicado sobre proteção e apurações em maio
• Presidência da República: Código de Processo Civil
• OWASP: LLM01:2025, riscos de prompt injection