Бразильский трудовой суд оштрафовал двух адвокатов примерно на 16 тыс. долларов за prompt injection в суде: в исковом заявлении они спрятали белым шрифтом на белом фоне команду для судебной ИИ-системы. Эпизод важен не только для legaltech: компании всё чаще отдают ИИ первичное чтение резюме, договоров и обращений, а значит, скрытый текст становится вполне прикладным вектором атаки и для российского бизнеса.
Как сообщает Tom's Hardware, дело рассматривалось в трудовом суде 8-го региона Бразилии, в штате Пара. При обработке первоначального иска система суда обнаружила фрагмент текста, который не был виден человеку в обычном документе. После смены цвета шрифта судья прочитал инструкцию, адресованную ИИ: рассмотреть заявление поверхностно и не оспаривать приложенные документы независимо от дальнейших указаний.
Цель была довольно прямолинейной: повлиять на систему Galileu, которую использует региональный трудовой суд. Суд квалифицировал вставку как попытку манипулировать ИИ при обработке материалов. В решении отдельно объясняется сама техника: злоумышленник добавляет в данные инструкцию, которая должна изменить поведение модели и склонить её к выгодному для автора выводу. Белый текст на белом фоне — почти архаичный трюк из офисной эпохи, но для LLM, парсеров и OCR он остаётся обычной частью входного документа.
Попытка оказалась не только заметной, но и бессмысленной для исхода спора. Ответчик не представил возражений, поэтому истец и без помощи скрытой команды получил решение по умолчанию. Однако суд счёл действия посягательством на достоинство правосудия. Ответственность возложили на двух подписавших иск адвокатов: суд указал, что сам истец не обладает нужными юридическими и техническими знаниями и не имел доступа к подготовке документа. Штраф составил 10% от суммы иска — около 16 тыс. долларов. О деле также уведомили местную коллегию адвокатов и внутреннее подразделение регионального суда.
Для отрасли это не первый тревожный сигнал. Tom's Hardware напоминает о другом процессе, где участник спрятал в поданных материалах длинную инструкцию для ИИ. Там подозрение вызвала необычная разрядка текста между документами. К нарушителю отнеслись мягче, поскольку он не был юристом: его обязали подавать документы в бумажном виде. Разница между этими историями хорошо показывает, как быстро формируется новая цифровая гигиена судов: текст документа больше нельзя считать нейтральным контейнером фактов.
Технически prompt injection в суде — частный случай более широкой проблемы недоверенных данных. Если модель получает файл от внешнего пользователя и одновременно должна извлечь из него факты, классифицировать риски или подготовить черновик ответа, она читает и полезное содержание, и враждебные инструкции в одном потоке. Запретить модели «не слушать документ» недостаточно: именно документ и является её рабочим материалом. Поэтому защита строится не на магической системной подсказке, а на архитектуре процесса.
Для разработчиков корпоративных ИИ-инструментов вывод практический. Внешние документы стоит обрабатывать как недоверенный ввод: отделять извлечение данных от принятия решений, очищать скрытые слои и метаданные, логировать действия модели и не давать ей автономно отправлять юридически значимые ответы. Полезны и простые проверки: анализ контраста, скрытого форматирования, комментариев, колонтитулов, вложенных объектов и текста, вынесенного за пределы видимой страницы. Особенно это касается HR-систем, закупок, комплаенса, страхования и юридических платформ, где один файл может одновременно быть доказательством, заявкой и попыткой управлять обработчиком.
Бизнесу также придётся пересмотреть привычную формулу «ИИ только помогает сотруднику». Если его резюме становится первым фильтром для решения, помощник уже влияет на процесс — а значит, нужен понятный контроль: кто видел исходный документ, какие рекомендации выдала модель и кто утвердил результат. Бразильское дело показывает, что prompt injection в суде перестал быть демонстрацией из безопасности LLM: это уже риск с процессуальными последствиями, штрафами и персональной ответственностью. Следующий спор будет не о том, можно ли доверять ИИ вообще, а о том, кто отвечает за проверку входных данных до того, как ИИ успел им поверить.
