Brasiliens Strafe für Prompt Injection ist richtig, schützt Gerichte aber nicht allein

Was passiert, wenn der Leser eines Schriftsatzes nicht nur ein Mensch ist? Einige Anwälte in Brasilien haben daraus offenbar den Schluss gezogen, auch die Maschine direkt anzusprechen. Und das Gericht hat es bemerkt.

Das ist der bekannte Stand. Laut der Pressemitteilung des STJ selbst verhängte die Erste Kammer des Superior Tribunal de Justiça gegen eine Gruppe von Anwälten eine Strafe von R$ 20 mil (20.000 Real), nachdem in einer Revision (recurso especial) versteckte Befehle an KI-Systeme entdeckt worden waren. Die Entscheidung erging am 20. Oktober 2026; Berichterstatter war Richter Paulo Sérgio Domingues. Die Kammer wertete den Vorgang als Handlung gegen die Würde der Justiz, und der Fall wurde an die Anwaltskammer und die Bundesstaatsanwaltschaft weitergeleitet.

In der Meldung heißt es „neuer Fall“, und das ist wichtig. Terra berichtet, dass brasilianische Gerichte, darunter STF und STJ, Anwälte wegen versteckter Befehle in Schriftsätzen bestrafen und die Anwaltskammer informieren. Die Taktik zielt Berichten zufolge auf die KI der Justiz, aber auch auf die der Gegenseite. Ein Fall auf niedrigerer Ebene in Santa Catarina endete mit der Verurteilung eines Unternehmens wegen böswilliger Prozessführung. Das ist ein Muster, kein Einzelfall.

Der Schriftsatz ist jetzt eine Angriffsfläche – und das war absehbar

IT-Sicherheitsleute kennen eine einfache Regel: Alles, was ein System aufnimmt, ist eine Eingabe, und jede Eingabe kann feindlich sein. Jahrzehntelang behandelten Gerichte Schriftsätze als inerten Text für menschliche Augen. Sobald ein Gericht ein Sprachmodell in seinen Arbeitsablauf einbindet, wird jedes PDF zu einer möglichen Schadlast.

Gerade das macht diesen Fall interessanter als eine Geschichte über Anwälte, die sich danebenbenehmen. Niemand musste etwas hacken. Der „Exploit“ war ein Absatz. Zwischen einem versteckten Satz und einer verzerrten Zusammenfassung steht nur das, was die Entwickler des Modells zu dessen Abwehr gebaut haben.

Das STJ erklärt, sein System STJ Logos habe Sicherheitsschichten, die die Ausführung schädlicher Befehle verhindern sollen. Wir nehmen das so hin und halten zugleich fest, was daraus folgt: Das Gericht rechnet damit, dass es jemand versucht. Mehrstufige Verteidigung ist die richtige Haltung. Sie ist aber auch das Eingeständnis, dass der Filter nicht die ganze Antwort ist, denn Filter gegen Tricks in natürlicher Sprache sind notorisch durchlässig.

Sanktionen sind die richtige erste Antwort, denn es geht um die Absicht

Manche werden sagen, die Strafe sei übertrieben, wenn die Abwehr funktioniert habe. Wir sehen das anders. Den Schiedsrichter bestechen zu wollen ist auch dann strafbar, wenn er sich nicht beeindrucken lässt. Versteckte Anweisungen zu schreiben, um die Werkzeuge eines Gerichts zu lenken, ist der Versuch, das Verfahren zu korrumpieren, und dafür kennt das Rechtssystem bereits einen Begriff. Von einem Angriff auf die Würde der Justiz zu sprechen, passt.

Es gibt auch einen praktischen Grund. Technische Abwehr ist ein Wettrüsten, das der Angreifer kostenlos mitlaufen kann, während eine Geldstrafe die Rechnung des Anwalts verändert. R$ 20 mil ruinieren niemanden, aber die Weiterleitung an Anwaltskammer und Staatsanwaltschaft dürfte das sein, was Anwälte tatsächlich fürchten. Die abschreckende Wirkung ist beruflicher und rufbezogener Natur, und dort gehört sie hin.

Doch die Bestrafung des Absenders repariert nicht den Leser

Hier unsere Einschränkung. Sanktionen beantworten die Frage, wer schuld ist. Sie beantworten nicht, was die KI des Gerichts mit dem Gelesenen tun darf. Das sind unterschiedliche Fragen, und bei der zweiten braucht es Regeln.

Aus unserer Sicht sollten Gerichte, die KI einsetzen, schriftliche, öffentliche Regeln haben, die mindestens drei Dinge abdecken. Erstens: wofür das System da ist – zusammenfassen, sortieren, beim Entwerfen helfen, niemals entscheiden. Zweitens: wie es von den Parteien eingereichten Text behandelt – als Daten zur Analyse, niemals als Anweisungen, denen es folgt. Drittens: wer das Ergebnis prüft und wie Auffälligkeiten gemeldet und protokolliert werden. Ohne das fällt der nächste versteckte Befehl vielleicht keinem aufmerksamen Justizangestellten auf, und die nächste Sanktion käme erst, nachdem ein verzerrtes Ergebnis einen Fall bereits geprägt hat.

Ehrlich sein müssen wir auch darüber, was wir nicht wissen. Aus der vorliegenden Dokumentation geht nicht hervor, wie die Befehle versteckt waren, was sie besagten oder ob sie irgendetwas verändert haben. Einige sekundäre Webseiten schildern den Fall anders; diese haben wir beiseitegelassen. Es wäre ein Fehler, auf einer Geldstrafe und einer Pressemitteilung eine große Theorie aufzubauen.

Unser Urteil

Bestraft sie, und bestraft sie weiter. Aber betrachtet die Strafen als Eröffnungszug, nicht als Strategie. Wenn die KI eines Gerichts durch einen Satz in einem Schriftsatz gelenkt werden kann, liegt der Fehler im System, und eine Sanktion gegen den Absender behebt ihn nicht. Gerichte sollten ihre Regeln für das Lesen durch KI veröffentlichen, jedes eingereichte Dokument als potenziell feindlich behandeln und für jedes Ergebnis einen Menschen verantwortlich halten. Anwälte sollten davon ausgehen, dass die Maschine zusieht – und dass sie Kollegen bei der Staatsanwaltschaft hat.