ไม่มีกฎหมายชัดเจนนะครับ โดยส่วนมากกฎหมายอาชญากรรมคอมพิวเตอร์มักยกเว้นให้กับการทำวิจัยอยู่แล้ว (เช่นการนำเสนอบั๊กตามงานประชุมวิชาการด้านความปลอดภัย)

กรณีที่ใช้กันคือ US-CERT ระบุว่าผู้ผลิตต้อง "ติดต่อกลับ" ภายใน 45 วัน ส่วนจะขอเวลาแก้ไขหรือไม่อย่างไรก็ดูตามความเหมาะสม

ของไทยใกล้เคียงสุดน่าจะเป็นมาตรา 6 ระบุเพียง ว่าเป็นการกระทำ "โดยมิชอบ" เท่านั้น ยังไม่แน่ชัดว่า การเผยแพร่เพื่อการศึกษานี่จะนับว่า "มิชอบ" รึเปล่า คงดูการตีความเก่าๆ หรือรอจนมีคดีไปถึงศาลฎีกาให้เป็นบรรทัดฐาน

มาตรา ๖ ผู้ใดล่วงรู้มาตรการป้องกันการเข้าถึงระบบคอมพิวเตอร์ที่ผู้อื่นจัดทำขึ้นเป็นการเฉพาะถ้านำมาตรการดังกล่าวไปเปิดเผยโดยมิชอบ ในประการที่น่าจะเกิดความเสียหายแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินสองหมื่นบาท หรือทั้งจำทั้งปรับ