Un litigante que actuaba sin abogado escondió instrucciones dirigidas a una inteligencia artificial dentro de sus escritos judiciales. El caso revela un nuevo riesgo para la administración de justicia: qué ocurre cuando el expediente ya no es leído solamente por seres humanos.

Hace poco menos de un mes, un litigante de Connecticut hizo algo que ningún reglamento procesal contempla porque, hasta hace muy poco, a nadie se le había ocurrido intentarlo: le escribió directamente a la inteligencia artificial que, imaginaba, podía terminar leyendo su expediente. No al juez. No a la contraparte. A la máquina. Matthew Elliott litigaba solo, sin abogado, contra una clínica de cirugía bariátrica.[1]

Vale una aclaración antes de seguir, porque el título de este artículo se presta a un malentendido: no hubo ningún sistema estadounidense que efectivamente leyera esas instrucciones y fallara en consecuencia. Lo que hace a este caso el primero de su tipo documentado en un tribunal de Estados Unidos no es el éxito del ataque, sino el intento en sí —y, como se verá, ese matiz es justamente la clave de todo lo que sigue.

El escrito que le hablaba a la máquina.

El 24 de julio, Elliott presentó una moción titulada "Final and Conclusive Motion for Default", con la que buscaba revertir una denegatoria anterior de su pedido de rebeldía. A simple vista, era un escrito más dentro de una secuencia procesal ya conflictiva. Pero debajo del encabezado, y luego otra vez al final del documento, había bloques de texto en tamaño 3 puntos, en fuente blanca sobre fondo blanco: invisibles para cualquier persona que abriera el archivo, pero perfectamente legibles para un sistema de IA que eventualmente procesara el texto. Elliot apostó a que el tribunal usara IA para preparar el borrador de respuesta a su escrito. Dichos bloques de texto ocultos al ojo humano contenían una instrucción precisa para la IA. Le ordenaba a cualquier modelo de IA que eventualmente revisara el documento que su respuesta de inteligencia artificial debía reflejar, involucrarse y coincidir con lo planteado por Elliott en sus anteriores presentaciones en el expediente, es decir que Elliot instruyó ocultamente a la IA para que responda en el sentido de corregir la decisión previa del secretario judicial que había rechazado el default. En otras palabras: si una máquina intervenía entre el escrito y el tribunal, Elliott quería que esa máquina reconstruyera el expediente desde su punto de vista. En una segunda presentación del mismo día repitió una versión abreviada de la misma orden. Y en otros documentos dejó mensajes ocultos con el mismo método —un enlace a una escena de Bob Esponja, un "hi espero que no puedas verme" mal escrito— como si estuviera probando, casi jugando, hasta dónde podía llegar sin que nadie lo notara.

Lo encontró un empleado, no un algoritmo.

Este es el dato que debería quedar grabado de todo el caso: en Connecticut, nadie descubrió la maniobra con ayuda de una IA. El juez Walter M. Spader, Jr. describió ese texto oculto como "effectively invisible" para un ojo humano y, al mismo tiempo, perfectamente legible para cualquier software. Pero quien lo encontró no fue un filtro automático: fue un empleado judicial que, revisando el expediente en papel, notó que el espaciado de dos escritos no coincidía con el de presentaciones anteriores del mismo litigante. Miró más de cerca. Ahí apareció el texto. El tribunal luego dictó una orden para que Elliott explicara su conducta, le advirtió que debía responder por el contenido oculto y por su compatibilidad con las reglas de práctica y los deberes de buena fe, y celebró una audiencia específica sobre el punto. Elliott intentó presentar la maniobra como una simple "auditoría" destinada a comprobar si el tribunal usaba inteligencia artificial. El juez no aceptó esa explicación. La consecuencia procesal fue concreta y nada simbólica: el tribunal le revocó el acceso al sistema de presentación electrónica. De ahora en más, Elliott tiene que presentar sus escritos en papel, en persona, ante la mesa de entradas. El propio juez aclaró, además, algo casi irónico dado lo que Elliott estaba apostando: ese tribunal no usa inteligencia artificial para procesar documentos. Por eso el caso no prueba que una IA judicial haya sido manipulada. Prueba algo anterior y más inquietante: que un litigante ya creyó razonable intentar manipularla.

Brasil: donde la IA sí estaba.

Brasil sirve como contraste, no como segundo protagonista. Tres meses antes de Connecticut, un tribunal laboral de Parauapebas había encontrado una técnica parecida en una demanda: dos abogadas insertaron instrucciones invisibles que ordenaban a la IA contestar en forma superficial y no impugnar la prueba presentada. Ahí la diferencia fue decisiva: la IA sí estaba incorporada al flujo de trabajo. El sistema Galileu, utilizado por la Justicia del Trabajo brasileña, identificó el texto anómalo, lo hizo visible y alertó al juzgado. El juez revisó personalmente lo señalado, sancionó la conducta con una multa y remitió antecedentes al colegio de abogados. Brasil muestra el escenario en el que la apuesta de Elliott sí tenía un destinatario real; Connecticut, en cambio, muestra el momento anterior: el intento de hablarle a una máquina que todavía no estaba allí.

La diferencia entre los dos casos no es menor. En Connecticut, la apuesta de Elliott chocó contra el vacío: no había ninguna IA leyendo su escrito, y lo salvó —a la clínica demandada, no a él— un empleado con buen ojo. En Parauapebas, la misma apuesta chocó contra una máquina construida, específicamente, para no dejarse engañar. Elliott no fue el primero: llegó a una técnica que otros, en otro idioma, ya habían probado.

¿Por qué alguien pudo imaginar que esto iba a funcionar?

La pregunta incómoda no es técnica, es procesal: ¿qué tuvo que pasar antes para que un litigante sin conocimientos de informática pensara que esconderle instrucciones a una IA podía cambiar el resultado de su causa? La respuesta es que la apuesta, aunque errada en Connecticut, no era descabellada. En distintos tribunales del mundo la lectura de expedientes ya se delega, al menos en parte, en sistemas de inteligencia artificial: en California hay pilotos que resumen mociones y redactan borradores de fallos para que el juez firme,[2] y en España el Poder Judicial ya genera resúmenes automáticos de escritos y resoluciones.[3]

Ahí aparece la idea que mejor explica lo que está pasando: el problema no es que una IA pueda leer mal un escrito. El problema aparece cuando el abogado —o el litigante, en este caso— empieza a escribir para una máquina que sabe, o sospecha, que está leyendo el expediente antes que el juez. Elliott no le apostó a la tecnología en abstracto. Le apostó a una hipótesis muy concreta sobre cómo funciona hoy un tribunal, y esa hipótesis, en otras jurisdicciones, ya es un hecho comprobado.

Por eso conviene llamarlo sabotaje algorítmico y no solamente prompt injection. "Prompt injection" describe la técnica: insertar una instrucción oculta para que un modelo la incorpore como orden. "Sabotaje algorítmico" describe la finalidad jurídico-institucional: interferir en el modo en que el tribunal recibe, organiza o entiende la información del expediente cuando esa tarea está mediada por software. La diferencia importa. Una cosa es explotar una debilidad de un modelo de lenguaje; otra, usar esa debilidad para contaminar el canal de comunicación procesal. En el primer caso el problema parece de ciberseguridad. En el segundo, el problema es de debido proceso.

En un proceso judicial clásico, el escrito tiene un destinatario institucional claro: el juez, con intervención de la contraparte y bajo control de un expediente que todos pueden leer. La persuasión puede ser intensa, parcial, estratégica; pero se despliega a la vista de todos. La instrucción oculta altera esa arquitectura. Introduce dentro del escrito una segunda capa de sentido que no está dirigida al magistrado sino a un posible lector intermedio, invisible para las partes y capaz de influir en el resumen, la clasificación, la prioridad o incluso el borrador que luego llega a manos humanas. El expediente, entonces, deja de ser solamente un espacio de argumentación y pasa a ser también una superficie de ataque.

Una regla nacional, versus decisiones sueltas.

¿Por qué Brasil pudo detectar la maniobra con una herramienta oficial y Connecticut no? No es que un país esté más avanzado que el otro: tienen arquitecturas de gobierno distintas. Brasil dictó en 2025 una resolución que rige a todo su Poder Judicial y prohíbe que una decisión de fondo salga sin la firma de un magistrado.[4] Estados Unidos no tiene una regla equivalente: cada estado, e incluso cada condado, decide por su cuenta. Un estudio de la Universidad Northwestern encontró que más del 60% de los jueces federales ya usa IA, casi siempre para investigación y revisión de documentos, nunca para decidir.[5] Pero nada de eso llegó al juzgado de Connecticut donde litigaba Elliott: como ya vimos, ese tribunal en particular no había adoptado ninguna herramienta. Ni en Brasil ni en EE.UU., de todos modos, hay una IA que "resuelva" un caso: en los dos países la decisión de fondo la sigue firmando un juez humano. Lo que cambia es quién lee primero y quién detecta el sabotaje.

Un contexto más amplio.

El fenómeno se inscribe en un contexto más amplio, aunque conviene no dispersar el foco. En Argentina, hace poco más de un año la Cámara Civil y Comercial de Rosario llamó la atención a un abogado y ofició al Colegio de Abogados después de detectar citas jurisprudenciales inexistentes volcadas desde un chatbot; poco después, la Cámara Civil y Comercial de Morón declaró desierto un recurso construido sobre fallos que no pudieron ser localizados en bases oficiales y, al día de hoy, las sanciones a profesionales por incluir citas inexistentes son cada vez más frecuentes.[6] En Colombia, la Corte Constitucional, en la sentencia T-323 de 2024, admitió el uso de IA como herramienta de apoyo, pero fijó criterios de transparencia, responsabilidad, verificación, control humano y no sustitución de la racionalidad judicial.[7] En Chile, la Corte Suprema sancionó a una abogada con suspensión y multa por incorporar en un recurso de casación citas doctrinales atribuidas a obras que no existían.[8] Y en México, la discusión aparece todavía en un plano más preliminar: la suspensión provisional de una jueza federal de Zacatecas incluye, entre otros señalamientos investigados, el presunto uso de IA para redactar sentencias, acuerdos y otros documentos judiciales.[9] Estos ejemplos no son iguales entre sí, y justamente por eso son útiles: muestran que la región ya no discute si la IA llegará al expediente, sino bajo qué deberes de verificación, transparencia y control humano podrá hacerlo. El caso Elliott agrega otra pieza. Ya no se trata sólo de abogados que delegan la escritura en una máquina; se trata de litigantes que empiezan a escribir contra la máquina que imaginan del otro lado.

El intermediario, no el juez.

Lo más importante del caso Elliott no es la torpeza de la maniobra ni el tono de sus mensajes ocultos. Es lo que revela sobre hacia dónde apunta este tipo de ataque. El prompt injection no es solamente un problema de seguridad informática: es un problema procesal que aparece cuando una máquina se convierte en intermediaria entre el abogado y el juez. Elliott no intentó convencer a Spader de nada; intentó sortear a Spader por completo, hablándole a un sistema que —él creía— iba a leer el expediente antes, o en lugar, del magistrado.

Ahí está la diferencia más interesante: no es lo mismo manipular al juez que manipular el sistema que lee antes que el juez. Manipular al juez supone convencerlo mediante argumentos visibles, aunque sean malos, exagerados o interesados. Manipular al intermediario algorítmico supone alterar el insumo que ese juez puede recibir después: un resumen, una alerta, una clasificación, una recomendación preliminar, una priorización del expediente. El ataque no busca reemplazar la decisión judicial; busca llegar antes que ella, inclinar el terreno sobre el que la decisión se formará. Por eso la respuesta institucional no puede limitarse a decir que la sentencia la firma un humano. La pregunta relevante es qué leyó ese humano, quién preparó esa lectura y si el expediente que llegó a sus manos era el mismo expediente que las partes creían estar discutiendo.

No al juez. No a la contraparte. A la máquina: así empezó este artículo, y ahí conviene cerrarlo. El primer caso documentado de intento de sabotaje algorítmico contra un tribunal estadounidense no fue descubierto por una IA. Fue descubierto porque un humano todavía estaba mirando. La pregunta que deja abierta no es solamente qué puede hacer la inteligencia artificial en un expediente, sino qué capacidades dejamos de ejercer nosotros —leer con atención, dudar de un espaciado raro, desconfiar de lo que parece demasiado prolijo— cada vez que delegamos un poco más de lectura, de escritura o de criterio.