Prompt injection au Brésil : l'amende est juste, mais elle ne suffit pas

Que se passe-t-il lorsque le lecteur de votre mémoire n'est pas seulement un humain ? Des avocats brésiliens ont apparemment conclu qu'il fallait aussi écrire à la machine. Et le tribunal s'en est aperçu.

Voici ce que l'on sait. Selon le communiqué du STJ lui-même, la Première chambre du Superior Tribunal de Justiça a infligé une amende de R$ 20 mil (20 000 reais) à un groupe d'avocats après avoir découvert des commandes destinées à des systèmes d'IA, cachées dans un pourvoi (recurso especial). La décision date du 20 octobre 2026, le juge Paulo Sérgio Domingues étant rapporteur. La chambre y a vu un acte portant atteinte à la dignité de la Justice, et le dossier a été transmis à l'ordre des avocats et au parquet fédéral.

Le titre parle de « nouveau cas », et c'est important. Terra rapporte que des juridictions brésiliennes, dont le STF et le STJ, infligent des amendes à des avocats et alertent l'ordre professionnel à cause de commandes cachées dans des actes de procédure. La tactique viserait l'IA de l'institution judiciaire, mais aussi celle de la partie adverse. Une affaire de niveau inférieur, à Santa Catarina, s'est conclue par la condamnation d'une entreprise pour procédure abusive. C'est une tendance, pas un cas isolé.

Le mémoire est désormais une surface d'attaque, et c'était inévitable

Les spécialistes de la sécurité ont une règle simple: tout ce qu'un système ingère est une entrée, et toute entrée peut être hostile. Pendant des décennies, les tribunaux ont traité les mémoires comme du texte inerte, écrit pour des yeux humains. Dès qu'une juridiction branche un modèle de langage sur son flux de travail, chaque PDF devient une charge potentielle.

C'est ce qui rend cette affaire plus intéressante qu'une simple histoire d'avocats indélicats. Personne n'a eu à pirater quoi que ce soit. L'« exploit » était un paragraphe. Entre une phrase cachée et un résumé biaisé, il n'y a que ce que les concepteurs du modèle ont prévu pour y résister.

Le STJ affirme que son système, STJ Logos, dispose de couches de sécurité censées empêcher l'exécution de commandes malveillantes. Nous le prenons tel quel, tout en notant ce que cela implique: le tribunal s'attend à ce que l'on essaie. La défense en profondeur est la bonne posture. C'est aussi admettre que le filtre n'est pas toute la réponse, car les filtres contre les ruses en langage naturel sont réputés poreux.

Sanctionner est la bonne première réponse, car c'est l'intention qui compte

Certains diront que l'amende est excessive si la défense a fonctionné. Nous ne sommes pas d'accord. Tenter de corrompre un arbitre est punissable, même s'il vous ignore. Écrire des instructions cachées pour orienter les outils d'un tribunal est une tentative de corrompre la procédure, et le droit a déjà un mot pour cela. Parler d'atteinte à la dignité de la Justice est cohérent.

Il y a aussi une raison pratique. Les défenses techniques sont une course aux armements que l'attaquant peut mener gratuitement, alors qu'une amende change le calcul de l'avocat. R$ 20 mil n'a rien de ruineux, mais le signalement à l'ordre et au parquet est sans doute ce que les avocats craindront vraiment. La dissuasion est réputationnelle et professionnelle, ce qui est le bon endroit.

Mais punir l'expéditeur ne corrige pas le lecteur

Voici notre réserve. Les sanctions répondent à la question « qui est responsable ». Elles ne disent pas « ce que l'IA du tribunal a le droit de faire de ce qu'elle lit ». Ce sont deux questions différentes, et c'est la seconde qui appelle une politique.

Selon nous, les tribunaux qui utilisent l'IA devraient avoir des règles écrites et publiques couvrant au moins trois points. Premièrement, à quoi sert le système: résumer, trier, aider à la rédaction, jamais décider. Deuxièmement, comment il traite les textes soumis par les parties: comme des données à analyser, jamais comme des instructions à suivre. Troisièmement, qui vérifie les résultats et comment les anomalies sont signalées et consignées. Sans cela, la prochaine commande cachée pourrait échapper à un greffier à l'œil vif, et la prochaine sanction n'interviendrait qu'après qu'un résultat biaisé a déjà pesé sur un dossier.

Il faut aussi être honnête sur ce que nous ignorons. La documentation dont nous disposons ne dit pas comment les commandes étaient cachées, ce qu'elles disaient, ni si elles ont changé quoi que ce soit. Certaines pages web secondaires décrivent l'affaire autrement, et nous les avons écartées. Ce serait une erreur de bâtir une grande théorie sur une amende et un communiqué de presse.

Notre verdict

Sanctionnez-les, et continuez. Mais voyez dans les amendes le coup d'ouverture, pas la stratégie. Si l'IA d'un tribunal peut être orientée par une phrase dans un acte, la faille est dans le système, et une pénalité contre l'expéditeur ne la réparera pas. Les tribunaux devraient publier leurs politiques de lecture par l'IA, considérer chaque document déposé comme potentiellement hostile et garder un humain responsable de chaque résultat. Les avocats devraient supposer que la machine les observe, et qu'elle a des collègues au parquet.