Las instrucciones ocultas en escritos judiciales pueden dar lugar a sanciones en el Superior Tribunal de Justicia (STJ) de Brasil aunque no consigan alterar un análisis asistido por inteligencia artificial. El 20 de octubre de 2026, la Primera Sala impuso una multa personal total de 20.000 reales brasileños (BRL) a los abogados personados en el AREsp 3.095.458, tras identificar indicaciones invisibles destinadas a orientar herramientas de IA hacia un resultado favorable del recurso. Según el voto, en las pruebas del propio tribunal las instrucciones se trataron como texto y no influyeron en el análisis. Para la Sala, lo reprochable fue el intento encubierto de interferencia y la vulneración de la buena fe procesal, no la prueba de una decisión judicial manipulada.
Qué se encontró en el recurso de octubre
La Secretaría de Tramitación de Asuntos del STJ certificó dos inserciones de contenido parecido en puntos diferentes de una misma página. Según el voto del magistrado Paulo Sérgio Domingues, había texto blanco sobre fondo blanco y otra copia con el color de la franja decorativa del pie de página, situada sobre ella. Una capa utilizaba un tamaño de letra de 0,8 puntos, frente a los aproximadamente 7 a 10,5 puntos del texto visible. También aparecían palabras divididas artificialmente mediante espacios.
El material oculto empleaba verbos imperativos para orientar una manifestación favorable a la admisión y estimación del recurso especial, es decir, para que el tribunal examinara el recurso y acogiera lo solicitado. No eran meros argumentos jurídicos expuestos abiertamente a la otra parte y a los jueces: pretendían actuar como instrucciones durante el procesamiento automatizado del documento. El fallo mantuvo el fracaso del recurso, que no fue admitido a examen, y desestimó el recurso interno.
Por qué es prompt injection y no simplemente redactar con IA
La inyección de instrucciones, o prompt injection, ocurre cuando un texto recibido como dato intenta convertirse en una orden para un modelo de lenguaje. En este contexto, el escrito judicial es información que el sistema de apoyo puede analizar, no una fuente autorizada para establecer cómo debe comportarse. Las instrucciones ocultas dentro del archivo constituyen un intento de inyección indirecta.
El proyecto de seguridad de IA de OWASP explica este riesgo en sistemas que leen archivos o páginas externas: el contenido no confiable puede alterar la respuesta si la aplicación no separa las instrucciones del sistema de los documentos examinados. Que un texto sea invisible para una persona no demuestra por sí solo que el modelo lo haya obedecido. Son preguntas distintas: ¿se insertó el contenido?, ¿se procesó?, ¿alteró una respuesta?, ¿afectó a la decisión judicial?
Tres decisiones de 2026 con respuestas diferentes
El 20 de mayo de 2026, el STJ informó que estaba detectando y certificando intentos y que llevaría a cabo investigaciones. El 1 de septiembre, dos Salas resolvieron episodios diferentes; el 20 de octubre, la Primera Sala examinó el AREsp 3.095.458. La comparación distingue las multas procesales, las comunicaciones a organismos y las posibles investigaciones posteriores.
| Decisión | Conducta y explicación ofrecida | Medida comunicada |
|---|---|---|
| 1/9, Sexta Sala, REsp 2.256.731/PB | Texto blanco en un recurso penal; la defensa dijo desconocer su inserción y haber adoptado medidas preventivas. | Comunicación a la Orden de Abogados de Brasil (OAB) y al Ministerio Público Federal (MPF) para su examen; la noticia de esa decisión no informa de multa. |
| 1/9, Segunda Sala, recurso firmado por un procurador municipal | Instrucción oculta para favorecer una tesis; el procurador alegó un error con un atajo del teclado. | Multa por litigación de mala fe del 10 % del valor del litigio y comunicaciones a la OAB, al MPF, a la Policía Federal y al municipio. Procedimiento bajo secreto judicial. |
| 20/10, Primera Sala, AREsp 3.095.458 | Dos inserciones camufladas; un abogado alegó posibles restos de una herramienta de redacción con IA y negó intención de manipulación. | Multa personal total de 20.000 BRL a los abogados personados, conservación de pruebas digitales, informe complementario y comunicaciones a la OAB de Paraná y al MPF. |
Qué alegaron las defensas y cómo respondieron los magistrados
En octubre, el abogado que firmó y presentó el documento afirmó haber coordinado su elaboración y que los demás letrados personados no participaron en la preparación final. Dijo que no podía determinar cuándo se incorporó el texto al archivo. Alegó que podía tratarse de restos de una herramienta de redacción con IA, que las frases repetían argumentos jurídicos ya expuestos y que nunca quiso manipular STJ Logos. También citó las pruebas en las que el contenido no había influido en la herramienta.
Paulo Sérgio Domingues rechazó esa explicación: consideró relevantes las dos copias, los distintos métodos de ocultación, el tamaño extremadamente pequeño de la letra y el lenguaje imperativo. El voto impuso la multa total a los abogados personados, sin determinar en esa decisión quién había introducido materialmente cada fragmento; reservó el examen individual de responsabilidades a la OAB y al MPF dentro de sus competencias.
Las defensas fueron distintas en los casos anteriores. Ante la Segunda Sala, el procurador municipal negó mala fe y atribuyó la instrucción a un error de teclado, explicación rechazada por el ponente. Ante la Sexta Sala, la defensa dijo haberse sorprendido por la instrucción e informó de medidas de cumplimiento. Son versiones de los interesados, no conclusiones técnicas independientes.
¿Funcionó el ataque? Qué acredita el expediente técnico
No está demostrado que el intento de octubre haya dirigido la decisión. La manifestación de la defensa reproducida en el voto remite a registros de pruebas realizadas con STJ Logos en las que las instrucciones se trataron como texto del escrito, sin afectar el análisis. El ponente consideró que ese resultado era compatible con la protección del sistema, pero subrayó que el fracaso del intento no legitimaba la conducta. El recurso especial no fue admitido y se desestimó el recurso interno.
En mayo, el STJ describió tres barreras de STJ Logos: separación entre instrucciones y datos de entrada, limitación del alcance de las órdenes y revisión de conformidad de las respuestas. Son descripciones institucionales del diseño de seguridad, no pruebas independientes realizadas por DTech ni una garantía absoluta frente a todas las variantes del ataque. OWASP recomienda controles de entrada y salida, separación del material no confiable y revisión humana de las actuaciones sensibles.
El voto de octubre ordenó un informe técnico complementario sobre el contenido oculto, las propiedades del archivo, los metadatos, los registros de auditoría y las medidas para preservar la cadena de custodia. La orden no demuestra que el informe ya estuviera terminado, que se hubiera identificado al autor material de la inserción ni que se hubieran verificado los resultados técnicos de todos los episodios de 2026.
Por qué el fracaso técnico no impide sanciones
La valoración jurídica no depende únicamente de probar que un sistema de IA obedeció las órdenes ocultas. El voto sostuvo que ocultar instrucciones a la lectura ordinaria menoscaba la transparencia del escrito y el principio de contradicción, es decir, la posibilidad de que cada parte conozca y rebata lo presentado al tribunal. Los artículos 5 y 6 del Código de Proceso Civil (CPC) brasileño establecen deberes generales de buena fe y cooperación; los artículos 77 y 80 regulan deberes procesales y conductas de mala fe. El STJ vinculó la multa de la Segunda Sala al artículo 81.
El voto de octubre invocó los apartados IV y VI del artículo 77 para apreciar un acto ofensivo a la dignidad de la Justicia e imponer una multa personal total a los abogados personados. Existe una precisión jurídica relevante: el apartado 6 del artículo 77 establece un régimen propio de responsabilidad disciplinaria de los abogados respecto de las multas descritas en los apartados 2 a 5. Por tanto, la multa personal comunicada es el resultado de esta decisión concreta, no una fórmula automática ni una cuestión interpretativa definitivamente resuelta para todos los supuestos.
En otras palabras, el resultado técnico, la admisión del recurso y la eventual responsabilidad por la forma de presentar el escrito son cuestiones distintas. Es posible reprochar la conducta procesal sin afirmar que una IA produjo o modificó la decisión judicial.
Qué ocurre después de la multa
En octubre, el STJ ordenó conservar el archivo original, sus elementos de integridad digital y el texto extraído, además de elaborar documentación técnica adicional. También dispuso remitir material a la OAB de Paraná para valorar posibles medidas disciplinarias y al MPF para que examine las actuaciones de su competencia. La remisión no demuestra por sí sola la apertura de un expediente disciplinario, una acusación penal o una condena criminal. El voto separó expresamente esas averiguaciones del fallo sobre el recurso interno.
Los documentos consultados acreditan las decisiones y órdenes hasta el corte del 20 de octubre de 2026, pero no el resultado de procedimientos futuros. Tampoco permiten afirmar que utilizar IA para preparar escritos judiciales esté prohibido por sí mismo: el voto distingue expresamente el apoyo legítimo a la redacción del empleo encubierto de instrucciones para tratar de dirigir los sistemas del tribunal.
Consecuencias prácticas para juristas y equipos técnicos
Para los profesionales del Derecho, la enseñanza documental es comprobar la integridad del archivo realmente presentado, incluidas las capas de texto extraíble que pueden no aparecer en la visualización habitual, y revisar los materiales redactados o convertidos con ayuda de IA. Para quienes desarrollan sistemas de análisis documental, la protección esencial es impedir que el texto extraído de un escrito adquiera autoridad sobre las instrucciones del modelo, manteniendo registros auditables y supervisión humana.
Estas precauciones no implican que todo archivo con texto oculto sea malicioso: es necesario valorar contenido, contexto y pruebas. En los casos del STJ, las multas o comunicaciones respondieron a la evaluación judicial de instrucciones encubiertas dirigidas a un resultado procesal, con versiones de las defensas y consecuencias diferentes en cada asunto.
Fuentes y referencias
- STJ: decisión de la Primera Sala del 20/10/2026
- STJ: voto del ponente en el AREsp 3.095.458 (PDF)
- STJ: medidas de la Sexta Sala en septiembre
- STJ: multa de la Segunda Sala en septiembre
- STJ: comunicado de mayo sobre protección e investigaciones
- Presidencia de Brasil: Código de Proceso Civil
- OWASP: LLM01:2025, riesgos de prompt injection
