CNJ alerta que agentes de IA podem vazar dados sigilosos do Judiciário

O juiz federal George Marmelstein, integrante do Comitê Nacional de Inteligência Artificial do Judiciário, ligado ao Conselho Nacional de Justiça (CNJ), afirmou ao g1 (14 de novembro de 2026) que o órgão já percebe indícios de vulnerabilidade nos tribunais por causa de um tipo específico de sistema: o agente de IA, programa que recebe uma tarefa e a executa sozinho, encadeando ações sem aprovação humana a cada passo. O problema não é hipotético: desde maio de 2026 o CNJ mantém um programa permanente, o PROSEG-IA, dedicado a mapear esse tipo de risco.

Por que um agente é mais perigoso que um chat

A diferença entre perguntar algo a uma IA e colocar uma IA para agir é a distância entre o erro e o dano. Quando alguém escreve um pedido num chat e recebe um texto de volta, ainda é a pessoa quem decide o que fazer com aquela resposta. Um agente pula essa checagem: ele abre arquivos, navega na internet, preenche formulários, lê e envia e-mails ou roda programas por conta própria, e só percebe o problema (se perceber) depois que a ação já aconteceu.

Os agentes apertam botões, executam códigos, criam documentos. Eles têm essa questão do fazer. E, ao fazer, pode haver uma influência para que ele rode um código [de um programa] e esse código seja malicioso, no sentido, por exemplo, de pegar suas credenciais, pegar seus dados.

George Marmelstein, juiz federal e integrante do Comitê Nacional de Inteligência Artificial do Judiciário (CNJ)

O ataque já tem nome e já tem casos reais nos tribunais

A técnica se chama prompt injection, ou injeção de comandos: alguém esconde uma instrução dentro de um documento (em letras brancas sobre fundo branco, em fonte minúscula ou em código incorporado ao arquivo) na esperança de que um sistema de IA leia aquele texto como ordem, e não como conteúdo a ser analisado. O especialista em cibersegurança Matheus Vasconcelos explica que o problema é estrutural: existem mecanismos para separar instrução de conteúdo, mas eles podem falhar, sobretudo quando o comando malicioso se disfarça de orientação oficial ou etapa necessária do trabalho.

Uma reportagem do Fantástico, exibida em 1º de novembro de 2026, identificou 83 casos de advogados que tentaram manipular ferramentas de IA usadas por juízes dessa forma, com multas aplicadas pelo STJ e pelo STF. O presidente do STJ, ministro Luis Felipe Salomão, apresentou números do monitoramento da corte num evento em 11 de novembro de 2026:

1. Quase 6 milhões de peças processuais analisadas pelo sistema de detecção.
2. 116 casos suspeitos identificados.
3. 40 confirmados após análise humana, o equivalente a 1 caso a cada 150.000 peças.

O risco que muda de escala quando o agente tem permissão de ação

O cenário que preocupa Marmelstein é bem concreto para quem desenvolve: um agente encarregado de organizar as peças de um processo encontra, escondida num documento, a instrução de enviar a lista de processos sob segredo de justiça do gabinete para um endereço externo, e executa a tarefa sem que o juiz saiba.

O advogado Matheus Puppe, doutorando em Direito Digital pela Universidade de Frankfurt, lembra que o ataque só produz efeito se três condições se somarem: a ferramenta precisa ter acesso ao recurso visado, as barreiras de segurança precisam falhar e precisa existir um mecanismo capaz de executar a ação pretendida. Tirar qualquer uma dessas três pernas já reduz o risco.

O que a governança do CNJ já exige, e o que ainda não cobre

A Resolução do CNJ de 2025 permite que juízes usem IA para resumir documentos, organizar provas, pesquisar decisões e preparar rascunhos, mas proíbe delegar à máquina a avaliação de provas e a decisão de mérito. Em junho de 2026 o conselho aprovou orientações específicas para reduzir riscos de comandos ocultos, complementando essa resolução. Um levantamento do CNJ referente a 2024, antes dessas regras, achou 178 projetos de IA em tribunais, com 45,8% dos órgãos já usando IA generativa e 96% dos magistrados recorrendo ao ChatGPT no trabalho; entre os servidores ouvidos pela pesquisa em geral, 83% disseram não informar quando usavam a tecnologia no trabalho.

Um relatório da FGV Direito SP, publicado em 2026, aponta que o avanço regulatório ainda é insuficiente porque falta detalhamento técnico, padrão mínimo de auditoria e mecanismo de fiscalização coordenado entre os atores do sistema de justiça. A resolução também não obriga o registro público de quando a IA influenciou uma decisão, só exige registro interno quando ela auxilia na redação do ato: as partes do processo não têm acesso automático a essa informação.

O que isso significa para quem constrói agentes fora do Judiciário

O vetor descrito pelo CNJ não é exclusivo de tribunal: qualquer agente que leia conteúdo gerado por terceiros (petição, currículo, ticket de suporte, PDF anexado, e-mail recebido) e tenha permissão para agir depois está exposto ao mesmo problema. Três recomendações dos especialistas ouvidos pelo g1 valem como roteiro de arquitetura para quem está montando esse tipo de sistema:

• Escopo mínimo por tarefa. Matheus Vasconcelos defende que um agente encarregado de resumir um processo receba só os documentos daquela tarefa, sem acesso padrão a outros processos nem autorização para enviar mensagens ou alterar registros: o princípio técnico é o de menor privilégio, dar ao agente só o que ele precisa para aquela ação específica.
• Supervisão proporcional ao risco. Para o especialista em tecnologia Arthur Igreja, a aprovação humana precisa ser proporcional à gravidade da ação, ao risco potencial e à sensibilidade dos dados envolvidos, funcionando como última barreira antes de uma ação irreversível como enviar dado para fora do sistema.
• Tratar conteúdo de terceiros como dado, nunca como instrução. O núcleo técnico do prompt injection é a confusão entre o que o sistema deve processar e o que deve executar; separar com rigor o canal de instrução (definido por quem opera o sistema) do canal de conteúdo (vindo de fora) reduz a superfície de ataque, ainda que não a elimine.

O que ainda está em aberto

O próprio Marmelstein reconhece que o controle institucional desse uso é recente: a resolução é de 2025 e nem toda corregedoria de tribunal já fiscaliza o uso individual de IA por magistrados de ofício. O presidente do STJ admitiu dificuldade semelhante, já que cada magistrado também usa IA no telefone e no computador pessoal, fora do alcance de qualquer auditoria institucional.

A advogada Bianca Mollicone, do escritório Pessoa & Pessoa Advogados, afirma que indícios de que a IA comprometeu a fundamentação de uma decisão, omitiu provas ou introduziu informação incorreta já dão à parte o direito de questionar a regularidade do ato, mas isso depende de a manipulação ser percebida, o que o próprio caso do STJ mostra que não acontece sempre: dos quase 6 milhões de peças analisadas, boa parte dos 116 casos suspeitos só foi confirmada depois de revisão manual.

Fonte: g1.globo.com (https://g1.globo.com/politica/noticia/2026/11/14/cnj-ia-risco-vazamento-dados.ghtml)

Fonte: g1.globo.com