Ujawnianie podatności i aspekty prawne Działalność grey hat pozostaje w napięciu z wypracowanymi w branży modelami skoordynowanego ujawniania podatności (), w którym badacz przekazuje informacje producentowi i daje mu czas na przygotowanie poprawki, oraz polityką pełnego ujawnienia, zakładającą publikację szczegółów luki bez względu na stan poprawek. Procedury przyjmowania i obsługi zgłoszeń o podatnościach ujęto także w normie ISO/IEC 29147. Grey hat z definicji działa jednak bez zgody właściciela systemu, przez co nawet zgłoszenie luki w dobrej wierze może narazić go na odpowiedzialność karną.
Sytuacja w Polsce Ryzyko prawne wiąże się w Polsce z przepisami kodeksu karnego dotyczącymi bezprawnego uzyskania dostępu do systemu i tzw. narzędzi hakerskich (art. 267 i 269b). Do 2017 roku przepisy te nie przewidywały żadnego wyłączenia dla działań podejmowanych w dobrej wierze: w 2013 roku opisywano przypadek zatrzymania mężczyzny, który zgłosił urzędnikowi wykrytą lukę, a w przygotowanej w 2016 roku dla Ministerstwa Cyfryzacji analizie prawnej stwierdzono wprost, że zamiar przełamania zabezpieczenia, nawet podjęty w dobrej wierze i połączony z zamiarem powiadomienia dysponenta systemu, nie wyłącza odpowiedzialności karnej.