К сожалению, текущие нормы законодательства в РФ (мы про РФ говорим?) не предполагают "белого хакерства".
Таким образом искать уязвимости может только человек, которого специально для этого наняли (ну или у кого это есть в обязанностях).
История знает разные исходы таких ситуаций - вполне счастливые (денежная премия и/или оффер), средние (нет премии, но обошлось без проблем) и плохие (вплоть до реального срока).
Как поступать - решать только Вам. Однако в любом случае стоит не эксплуатировать эту уязвимость. С другой стороны если Вы просто будете молчать и пользоваться инетом - вероятный максимум ответственности это лишь компенсация, максимум за 3 года.