Uma petição protocolada em nome da Natura trazia, no fim do texto, instruções em fonte branca sobre fundo branco.
Invisíveis ao olho humano. Perfeitamente legíveis por uma IA.
O juízo de Rio Negrinho (SC) classificou a prática como fraude processual: comandos destinados a “ludibriar, manipular e induzir a erro” os sistemas automatizados do Judiciário.
A decisão aplicou multa de 10% sobre o valor da causa — o teto previsto no art. 77, §2º do CPC —, além de danos morais e ofício à OAB.
A Natura afirmou que repudia a prática, notificou o escritório responsável e reforçou treinamentos.
Traduzindo: a conduta foi de um terceiro. A condenação e o desgaste de marca foram da empresa.
E esse é o ponto que quase todo mundo está lendo errado nesse caso.
O que é prompt injection?
Prompt injection é a inserção deliberada de instruções em um conteúdo para que um sistema de inteligência artificial (IA) trate aquele conteúdo como comando, e não simplesmente como dado.
No caso da Natura, as instruções estavam escondidas em um documento por meio de texto branco sobre fundo branco.
Para uma pessoa, o texto era invisível.
Para um sistema automatizado capaz de processar o conteúdo, não necessariamente.
Quem trabalha com aplicação reconhece o padrão na hora: é o mesmo erro conceitual do SQL injection.
O sistema não consegue distinguir adequadamente uma instrução legítima de um conteúdo não confiável vindo de fora.
Prompt injection vai muito além de texto branco
A técnica não depende de uma única forma de esconder instruções.
As notas técnicas do TJSC e do TJMG já catalogam diferentes vetores, como:
- fonte com menos de 1 ponto;
- caracteres de largura zero;
- metadados adversariais em PDF;
- camadas sobrepostas;
- texto fora da área visível;
- legendas de imagem;
- OCR induzido a erro.
Ou seja: um documento aparentemente normal para um ser humano pode carregar instruções destinadas a manipular um sistema de IA.
Prompt injection e alucinação de IA não são a mesma coisa
Vale separar duas coisas que a imprensa mistura.
Alucinação — como jurisprudência inventada — é negligência, punida desde 2025. Prompt injection é dolo.
Não é a mesma conversa.
Na alucinação, o sistema de IA produz uma informação incorreta, como uma decisão judicial ou precedente que não existe.
No prompt injection, existe uma tentativa deliberada de influenciar o comportamento do sistema por meio de instruções inseridas no conteúdo que ele irá processar.
Essa diferença é fundamental quando falamos de segurança da informação e governança de inteligência artificial.
O caso Natura não é isolado
O episódio envolvendo a Natura não surgiu sozinho.
Três meses de linha do tempo dão a dimensão do problema:
08/07 — TRT-5 (BA): 10% do valor da causa mais R$ 30 mil por ato atentatório à dignidade da Justiça.
Repare no último ponto.
Há hoje três desfechos diferentes para condutas idênticas:
- sanção somente ao advogado;
- sanção à empresa;
- nenhuma multa.
Nenhum tribunal superior pacificou a questão.
Ou seja: se houver um comando oculto em uma peça em seu nome, quem paga a conta ainda depende de qual vara pegou o processo.
Você não controla esse risco.
Só pode evitar que ele exista.
O ponto cego da governança de IA é o fornecedor
A Natura fatura R$ 22 bilhões e tem 13 mil colaboradores.
Não é uma empresa sem governança.
Mesmo assim, virou manchete nacional por causa de um parágrafo invisível em uma petição de Juizado Especial que ela provavelmente nunca leu.
Porque a governança de IA parou nos limites do CNPJ. O risco não parou.
Esse talvez seja o aprendizado mais importante do caso.
Quando uma empresa terceiriza um processo, o risco operacional e reputacional não é automaticamente terceirizado.
Se um escritório, agência, BPO ou outro fornecedor produz conteúdo em nome da sua empresa, a sua marca continua exposta.
E isso vale muito além do Judiciário.
O risco de prompt injection também existe fora dos processos judiciais
Imagine uma empresa usando IA para analisar:
- currículos;
- propostas comerciais;
- notas fiscais;
- contratos;
- tickets de suporte;
- documentos enviados por clientes;
- relatórios produzidos por fornecedores.
Em todos esses casos, existe uma superfície potencial de ataque.
Se um sistema de IA recebe conteúdo externo e esse conteúdo pode influenciar o comportamento do modelo, existe um problema de segurança de IA que precisa ser considerado.
Cinco medidas para reduzir o risco de prompt injection
1. Inclua uma cláusula de IA nos contratos com fornecedores
Escritórios, agências e BPOs que produzem conteúdo em nome da sua marca precisam ter:
- dever de declaração de uso de IA;
- vedação expressa a técnicas de manipulação;
- responsabilidade regressiva.
A empresa precisa saber como seus fornecedores estão utilizando inteligência artificial em processos que podem gerar documentos em seu nome.
2. Trate todo documento externo como dado não confiável
Vale para o Judiciário e vale para você.
Se existe um copiloto lendo currículos, propostas, notas fiscais ou tickets, é a mesma superfície de ataque.
O documento deve ser tratado como dado não confiável antes de ser processado por um sistema de IA.
3. Faça a detecção antes do envio
Texto invisível é trivial de encontrar.
O Acrobat resolve boa parte dos casos. Um script com PyMuPDF resolve o resto.
O que falta não é ferramenta.
É uma etapa no processo.
A detecção precisa fazer parte do fluxo de revisão antes que um documento seja enviado, protocolado ou utilizado por outro sistema automatizado.
4. Tenha human-in-the-loop de verdade
A nota técnica do TJSC chama a conferência humana de “indispensável e indelegável”.
Se ninguém lê antes de assinar, você não tem revisão.
Tem carimbo.
A inteligência artificial pode acelerar processos, mas não elimina a necessidade de supervisão humana em atividades que envolvem responsabilidade jurídica, reputacional ou financeira.
5. Treine quem não é técnico
Quem aprovou aquela petição não precisava saber programar.
Precisava saber que isso existe.
Esse é um dos maiores desafios da governança de IA nas empresas: o risco tecnológico não fica restrito ao departamento de TI.
Quem aprova, revisa, assina ou encaminha documentos também precisa conhecer os riscos básicos envolvidos no uso de IA.
A tecnologia raramente é o problema
Passei a carreira em segurança da informação e a lição se repete a cada cinco anos, com uma roupagem nova:
o problema é o processo que ninguém revisou porque “sempre funcionou assim”.
A IA não criou a má-fé.
Criou um vetor novo para uma má-fé que já existia — e ampliou o estrago para quem apenas assinou o contrato.
O caso Natura mostra que governança de inteligência artificial não pode terminar dentro da empresa.
Se a sua organização terceiriza qualquer processo em que um texto é produzido e enviado em seu nome, a pergunta vale hoje, não depois da manchete:
Você sabe como seus fornecedores estão usando IA?
Essa talvez seja a pergunta mais importante que o caso deixa para as empresas.
Por Thiago Guedes Pereira
CEO/Founder na DeServ – Tecnologia & Serviços
