За любое применение эксплойта, который используют пентестеры, простому гражданину может быть вменена 272 или 273 УК РФ со всеми последствиями.Нет, не любое. Вы в принципе не понимаете, как работает УК. Хорошо бы с юристом такие тексты писать.

И второе - баг баунти это не про этичный хакинг. Это лишь мотивационная программа для репорта багов, в основном по security.