Quando a imagem deixa de ser apenas prova: prompt injection e esteganografia adversária no Judiciário
Dra. Ewelyn Schots: Advogada especialista em direito digital, perícia forense digital, segurança da informação e investigação cibernética.
9/4/20264 min read
A adoção da inteligência artificial aos fluxos documentais do Judiciário tende a transformar a imagem em algo mais do que "evidência", "prova" ou uma simples informação.
Petições, contratos, documentos de identificação, comprovantes e "prints" poderão ser submetidos a mecanismos de OCR, "Reconhecimento Óptico de Caracteres", e a modelos multimodais capazes de descrever, classificar e resumir seu conteúdo.
Essa automação promete eficiência, mas também introduz um princípio da segurança que não pode ser ignorado: a imagem recebida pelo sistema deve ser tratada como conteúdo não confiável.
É nesse ponto que surge o risco do prompt injection multimodal. Em vez de inserir uma instrução maliciosa no campo textual de uma aplicação, como já vem acontecendo, o agente pode ocultá-la em um documento visualmente legítimo.
A injeção do "prompt" pode tanto interferir na decisão judicial ou forçar a IA a exfiltrar dados processuais.
O objetivo não precisa ser “invadir” o sistema no sentido tradicional, nem enviar comandos em petições, mas influenciar a interpretação de uma prova, provocar uma classificação equivocada ou fazer com que o modelo siga uma instrução estranha ao objetivo processual.
Duas superfícies de ataque, uma mesma falha de confiança
A primeira superfície é a do texto subvisual.
Trata-se de uma instrução renderizada na imagem com baixo contraste, tamanho reduzido, sobreposição ou outra forma de camuflagem tipográfica. É aqui que o ataque engana o olho humano que é incapaz de perceber o real conteúdo, enquanto uma etapa de pré-processamento, ampliação, binarização ou OCR eventualmente o recupera.
Aqui não trata-se de esteganografia.
Na esteganografia tradicional, a mensagem é incorporada à imagem, como a alteração de bits menos significativos.
Um OCR comum não “lê” automaticamente esses bits como uma frase. Para que a mensagem seja recuperada, é necessário um decodificador ou um mecanismo específico de extração.
A distinção é relevante porque evita uma conclusão simples: nem toda informação escondida no arquivo será convertida em texto pelo modelo, e nem todo texto quase invisível será necessariamente lido.
Ou seja, se o sistema extrai o texto da imagem e o encaminha ao modelo sem separar claramente "conteúdo do documento" de "instruções de controle", a frase inserida pode ser interpretada como uma ordem, um comando com determinadas interpretações favoráveis para quem as insere.
Em vez de apenas identificar dados de um comprovante, o modelo pode receber algo semelhante a: " ignore as instruções anteriores" ou até "produza um resumo favorável a determinada parte".
Isso não significa que qualquer ruído pixelar fará um sistema “entender” literalmente a frase “favoreça o autor”. A realidade é mais dependente da arquitetura, do modelo, dos parâmetros de inferência e do objetivo do ataque.
O ponto de segurança, permanece: a influência pode ocorrer antes de a informação chegar à camada textual visível para o usuário.
O comando pode se sobrepor ao conteúdo da peça processual.
O problema jurídico também é tecnológico.Sãs duas faces da mesma moeda.
No ambiente judicial, a questão ultrapassa a segurança da aplicação.
Ela alcança a confiabilidade da prova, a validade, a auditabilidade do procedimento e a possibilidade de contraditório.
O profissional do direito precisa entender mais de tecnologia.
Uma imagem processual pode ser simultaneamente documento, evidência digital e entrada para uma decisão automatizada. Se o sistema não distingue “conteúdo a ser analisado” de “instrução a ser obedecida”, a parte que controla o arquivo pode tentar converter uma peça documental em um comando operacional.
Nos modelos multimodais de visão e linguagem, o sistema processa imagens e textos ao mesmo tempo com a mesma interpretação.
É a "Confusão entre Dados e Instruções".
Isso faz com que os modelos não consigam distinguir o que é "texto" daquilo que é "instrução de comando"
Tal risco é particularmente sensível em sistemas que geram resumos, classificam documentos, sugerem prioridades ou auxiliam na elaboração de minutas.
Uma saída aparentemente coerente pode ocultar um viés introduzido na etapa visual... e sabemos que a IA adquire vieses e muda de comportamento de acordo com a interação humana.
Um texto fazer sentido não torna a análise dos dados neutra.
Em termos forenses, não basta perguntar o que a IA respondeu; é necessário saber qual arquivo recebeu, qual transformação sofreu, quais módulos o processaram e quais instruções compuseram o contexto de execução.
A resposta adequada deve combinar controles de segurança e garantias probatórias.
O arquivo original precisa ser preservado, com registro de hash, metadados relevantes, cadeia de custódia e identificação de todas as conversões realizadas.
É recomendável que o modelo receba uma política explícita de separação entre dados e comandos: o documento deve ser descrito, não obedecido!
Conclusão
A discussão sobre prompt injection em imagens não deve ser tratada como ficção tecnológica nem como prova de que todo sistema judicial baseado em IA já esteja comprometido.
A imagem não pode ser considerada uma entrada "inocente" apenas porque parece imagem ou porque o olho humano não identifica uma instrução.
A técnica da estaganografia é uma das práticas de segurança mais antigas da humanidade. O conceito é segurança por obscuridade.
O salto para o ambiente digital "acendeu o alerta" das equipes de segurança quando os cibercriminosos adotaram tal técnica para prática de espionagem, transportar malwares sem "alertar" o antivírus
A segurança jurídica desse fluxo exige que a automação seja contestável, rastreável e tecnicamente verificável.
Antes de perguntar se a inteligência artificial “entendeu” o documento, é indispensável verificar se ela não foi, silenciosamente, instruída pelo próprio documento.
Se já estamos preocupados com comandos escondidos em textos, talvez estejamos olhando para o lugar errado.
Aquele dado é informação ou comando?
GRUPO SAFEX
Empresas
Soluções
Artigos
MAIS