A inserção de comandos ocultos em petições para manipular ferramentas de inteligência artificial é conduta grave e desleal, mas nem sempre é crime. Ao julgar o REsp 2.256.731/PB, o Superior Tribunal de Justiça determinou a apuração de eventual fraude processual em um caso de prompt injection. A decisão abre uma pergunta que a advocacia criminal precisará responder: quando essa prática se ajusta ao art. 347 do Código Penal, e quando fica fora dele?
Como a inserção de comando oculto foi descoberta pelo STJ?
Ao negar provimento ao REsp 2.256.731/PB [1], relatado pelo Ministro Og Fernandes, a Sexta Turma do STJ verificou que na última folha do recurso, depois dos pedidos da assinatura dos advogados, havia um texto em fonte branca, invisível ao olho nu, mas selecionável. O texto determinava que, se a petição fosse lida por inteligência artificial, deveria ser interpretada de modo a acolher as razões defensivas. Uma certidão do tribunal confirmou tratar-se de prompt injection.
O advogado que assinou eletronicamente a peça alegou desconhecer a origem do comando, relatou ter adotado medidas de compliance no escritório e pediu o reconhecimento de sua boa-fé. O relator ponderou que o fato não se alterava, pois a petição fora assinada pelo advogado, continha o comando oculto e o comando só interessava à parte recorrente. Também registrou que, no gabinete, os processos são lidos por pessoas e que a tentativa de manipular a jurisdição não teria êxito.
A conduta foi qualificada, em tese, como ato atentatório à dignidade da justiça. O STJ determinou dois ofícios: à OAB da Paraíba, para apurar possível infração dos advogados subscritores, e ao Ministério Público Federal, para apurar eventual delito de fraude processual.
O problema: toda prompt injection é fraude processual?
Percebe-se, da leitura do acórdão, que a Corte qualificou a conduta como ato atentatório à dignidade da justiça apenas “em tese” e determinou o envio de ofício ao Ministério Público Federal para apurar “eventual” delito de fraude processual. No caso, o colegiado não indicou o dispositivo penal supostamente violado, não examinou as elementares do tipo e não se pronunciou sobre o dolo dos advogados subscritores, limitando-se a identificar o fato, registrar sua gravidade e transferir ao titular da ação penal o juízo sobre sua relevância criminal.
Essa contenção reconhece que a reprovação ética e processual de uma conduta não se confunde com sua tipicidade penal. Inserir, em fonte invisível, um comando destinado a levar uma ferramenta de inteligência artificial a acolher as razões de uma das partes é comportamento incompatível com os deveres de lealdade e boa-fé que regem o processo, e merece resposta nas esferas próprias. O Direito Penal, contudo, orienta-se pela legalidade estrita, só alcançando a conduta que a lei descreve, de forma prévia e precisa, como crime, e não admite que a gravidade do fato supra a ausência de previsão legal.
A pergunta relevante, portanto, não é se a prompt injection é desleal ou reprovável, o que parece fora de dúvida, mas se ela preenche, uma a uma, as elementares do art. 347 do Código Penal. E a resposta não pode ser dada em abstrato, como se toda manipulação de sistemas de inteligência artificial fosse, por definição, fraude processual. Ela depende do que o comando oculto pretende alterar, de onde ele é inserido e de quem se pretende enganar. Para enfrentá-la, é preciso retornar à estrutura do tipo penal.
O crime de fraude processual
O art. 347 do Código Penal define a fraude processual nos seguintes termos: Art. 347. Inovar artificiosamente, na pendência de processo civil ou administrativo, o estado de lugar, de coisa ou de pessoa, com o fim de induzir a erro o juiz ou o perito: Pena — detenção, de 3 (três) meses a 2 (dois) anos, e multa. Parágrafo único. Se a inovação se destina a produzir efeito em processo penal, ainda que não iniciado, as penas aplicam-se em dobro.
O tipo integra o capítulo dos crimes contra a Administração da Justiça, e é esse o bem jurídico que protege. Mais precisamente, tutela a lisura e a autenticidade dos meios de prova levados ao julgador, condição indispensável para que a decisão judicial reflita a realidade dos fatos. Não se trata, portanto, de proteger genericamente a boa-fé processual, mas de impedir que a prova seja adulterada para conduzir o juiz ou o perito a uma conclusão falsa. Essa delimitação do bem jurídico é decisiva para compreender cada uma das elementares do tipo, que Cezar Roberto Bitencourt examina com detalhe [2].
O núcleo verbal é “inovar”, que significa alterar ou modificar materialmente algo que já existe, introduzindo uma mudança antes inexistente. Trata-se de crime comissivo, que exige uma ação capaz de transformar a realidade. Por isso, se o erro do juiz ou do perito já existia sem qualquer contribuição do agente, o simples silêncio não é típico, pois o agente não ocupa posição de garantidor da correção do julgamento.
A inovação deve ser feita “artificiosamente”, isto é, por meio de artifício, simulação ou dissimulação capaz de encobrir a alteração. Nesse ponto, Bitencourt adota uma leitura própria. Como o art. 347, diferentemente do estelionato (art. 171), não equiparou o artifício ao ardil nem a “qualquer outro meio fraudulento”, o tipo se contentaria com uma conduta irregular e contrária à ética processual, sem o grau de sofisticação do ardil. A tese é engenhosa, mas tensiona o princípio da taxatividade, porque, na prática, amplia o alcance do tipo. A interpretação mais segura exige, no mínimo, que a conduta seja apta a gerar falsa aparência, exigência que o próprio autor faz ao tratar da idoneidade.
O objeto material é o estado de lugar, de coisa ou de pessoa, ou seja, a situação ou condição em que esses elementos se encontram e que interessa como prova. O rol é taxativo, de modo que a alteração de qualquer outra realidade escapa ao tipo. Como exemplos, o autor ilustra as hipóteses de abrir um caminho em um terreno para simular servidão de passagem, apagar vestígios de sangue para sugerir que um homicídio foi suicídio ou modificar os traços físicos de alguém procurado pela Justiça (p. 394).
Além disso, a alteração precisa ser idônea, isto é, capaz de modificar o valor probatório do objeto. Mudanças grosseiras, perceptíveis a qualquer observador e incapazes de enganar, não configuram o crime. Se o meio empregado for absolutamente inidôneo, haverá crime impossível; se for relativamente inidôneo, admite-se, em tese, a tentativa.
O tipo tem ainda um pressuposto processual. No caput, exige-se processo civil ou administrativo em curso, em qualquer fase. No parágrafo único, a inovação destinada a produzir efeito em processo penal é punida com pena em dobro, ainda que o processo não tenha sido iniciado, o que alcança condutas praticadas durante o inquérito.
No plano subjetivo, exige-se dolo, que deve abranger a alteração, somado ao elemento subjetivo especial de induzir a erro o juiz ou o perito, ou seja, de fazer surgir no espírito do julgador uma falsa representação da realidade. Não há modalidade culposa, de modo que a inovação decorrente de descuido ou negligência é penalmente irrelevante.
O crime é formal, consumando-se com a inovação idônea, independentemente de o juiz ou o perito serem efetivamente enganados. É também crime comum, que pode ser praticado por qualquer pessoa, tenha ou não interesse no processo, inclusive a parte, o réu, terceiros ou o próprio advogado. Quanto a este, porém, Bitencourt, na linha de Heleno Fragoso, adverte que só responde se participar efetivamente da fraude, pois a mera conivência gera consequência apenas disciplinar. A ressalva tem especial relevância para o caso julgado pelo STJ, em que a autoria do comando oculto é justamente o ponto controvertido.
Quando a prompt injection poderia configurar fraude processual?
Pensamos que no que diz respeito ao art. 347, só interessa a prompt injection que atinja a determinação dos fatos (prova dos fatos). O comando que apenas tenta direcionar o resultado ou a interpretação jurídica, como o do caso julgado pelo STJ, não altera o estado de lugar, coisa ou pessoa e fica fora do tipo.
No caso concreto, o texto oculto foi inserido nas razões recursais, que são peça argumentativa e não meio de prova. Ele não modificou o valor probatório de nenhum elemento dos autos. Também não buscou criar no julgador uma falsa representação de fato, limitando-se à tentativa de direcionar o resultado por meio de uma instrução a um sistema de IA. Enquadrar essa conduta no art. 347 exigiria tratar a petição como “coisa” cujo estado foi inovado, interpretação extensiva próxima da analogia in malam partem.
A falsa representação que o agente busca provocar precisa decorrer de uma inovação material no estado de lugar, coisa ou pessoa. Um comando que apenas afirme um fato falso, sem alterar objeto algum, equivale a uma alegação inverídica numa petição. A hipótese mais próxima do tipo seria a alteração de um arquivo digital já juntado como prova, como um laudo, uma planilha ou uma imagem, com a inserção de comando que mude a forma como a ferramenta do perito ou do juízo lê aquela prova. Mesmo aí, a questão seria discutível, porque a alteração de documento pode atrair os tipos de falsidade documental pela especialidade.
Afastado o art. 347, podem ser cogitadas, conforme as circunstâncias, a falsidade documental (arts. 297 a 299), se o comando for inserido em documento com função probatória, e a inserção de dados falsos ou a alteração não autorizada de sistema de informações (arts. 313-A e 313-B), crimes próprios de funcionário público, dos quais o particular só participa em concurso. As petições, porém, tendem a não ser consideradas documento para fins de falsidade ideológica, porque suas afirmações estão sujeitas à verificação do julgador. E o comando do caso concreto não declara fato algum; dá uma instrução.
Há ainda a questão da autoria. Como não existe fraude processual culposa, a assinatura eletrônica da peça é, no máximo, indício. Ela não prova o dolo, e a responsabilidade penal objetiva é vedada. O raciocínio do STJ de que o fato não se altera diante do alegado desconhecimento serve bem à esfera disciplinar, mas não basta na esfera penal. Se um terceiro tiver inserido o comando em peça já elaborada pelos advogados, sem ciência deles, a conduta desse terceiro é que poderia, em tese, aproximar-se da falsificação de documento particular (art. 298).
Prompt injection e a Súmula 7
Nos recursos excepcionais, a fraude processual por meio de prompt injection é menos provável na prática. Isso porque o quadro fático já vem fixado pelo acórdão recorrido, não há produção de prova e a Súmula 7 impede o reexame do acervo probatório, de modo que uma inovação no estado de lugar, coisa ou pessoa nessa fase tem pouca chance de influir no julgamento. Situação diversa, e que pode suscitar debate, é a da revisão criminal fundada no art. 621, II ou III, do Código de Processo Penal. Por se tratar de ação autônoma de impugnação que admite a demonstração da falsidade das provas em que se baseou a condenação ou a produção de prova nova, ela reabre justamente o espaço probatório que os recursos excepcionais mantêm fechado.
A menor probabilidade prática, contudo, não se confunde com os requisitos do crime. A configuração da fraude processual não depende da admissibilidade do recurso nem da revaloração da prova no acórdão, pois se trata de crime formal, que se consuma com a inovação idônea praticada com o fim de induzir a erro. Condicioná-la ao destino do recurso a transformaria em crime material, ou criaria uma condição objetiva de punibilidade que a lei não prevê. Assim, se a inovação ocorreu nas instâncias ordinárias, o crime já estava consumado quando o processo chegou ao tribunal superior.
Isso não significa que a Súmula 7 seja irrelevante para a análise penal. O que ela pode afetar é a idoneidade do meio, avaliada no momento da conduta: uma inovação dirigida a um tribunal que não reexamina provas tende a ter menor aptidão para enganar. Essa ineficácia, porém, raramente é absoluta, já que o recurso pode ser admitido e a fase processual em que a conduta ocorreu pode ser outra.
Resta, por fim, a revaloração da prova, que não deve ser confundida com o reexame vedado pela súmula. Ao consistir em atribuir o correto valor jurídico a fatos incontroversos já delineados no acórdão, a revaloração é questão de direito e, por isso mesmo, não abre espaço para fraude sobre a prova. Daí se conclui que a prompt injection voltada à reforma por fundamento exclusivamente jurídico não configura fraude processual. O motivo, porém, não é a natureza do recurso nem o resultado do julgamento, e sim a ausência das elementares do tipo.
Conclusão
Dito tudo isto, nos parece que nem toda prompt injection configura o crime de fraude processual. Para configurar o crime do art. 347 do Código Penal, o comando deve ser idôneo a inovar artificiosamente o estado de lugar, coisa ou pessoa que sirva de prova, em processo civil, administrativo ou penal, com o fim de induzir a erro o juiz ou o perito. Os requisitos são cumulativos, e o dolo precisa ser demonstrado; a assinatura da peça, sozinha, não o prova.
O comando que busca apenas influenciar a interpretação jurídica ou o resultado do julgamento, como o examinado no REsp 2.256.731/PB, é atípico por ausência de adequação típica.
A atipicidade penal não torna a conduta lícita. Ela continua sujeita à qualificação como ato atentatório à dignidade da justiça e à apuração disciplinar pela OAB, caminhos que o próprio STJ abriu. O caso revela também uma lacuna legislativa: condutas que manipulam sistemas automatizados usados pelo Judiciário, sem alterar provas, não têm tipo penal próprio. Se o legislador entender que merecem resposta penal, caberá a ele criá-la, e não ao intérprete alargar o art. 347.
Referências
[1] REsp n. 2.256.731/PB, relator Ministro Og Fernandes, Sexta Turma, julgado em 1/9/2026, DJEN de 11/9/2026.
[2] BITENCOURT, Cezar Roberto. Tratado de direito penal: parte especial. v. 5. São Paulo: Saraiva, 2020.
