Andrey Ivanov

В цивилизованном мире (особенно в области Enterprise) есть такое понятие как Bug Bounty. Это когда вы находите уязвимости или баги, репортите это на мыло, и потом получаете вознаграждение. Несколько раз сталкивался с таким.

Конечно стоит. Действия формально не выглядят как законные, но связываться никто не будет, если вы ничего не поломали.
С вашими наклонностями вам нужно быть в резонансе с работодателем, поэтому стоит рассказать и посмотреть на реакцию. Если вас пошлют, то это будет неадекват, а с неадекватами работать не нужно.

Если вы в США - да
ЕС - скорее всего
В остальном мире - скорее нет или через анонимный канал

В любом случае - перед такими изысканиями очень советуют получить письмо с разрешением на такого рода проверки