Como funciona o processo de Bug Bounty?

Gente do Tabnews, lhes apresento uma dúvida que talvez seja de + pessoas

Para descobrir uma falha no sistema, devo explora-lá, mas o quanto? porque se eu fizer m#rd@ enquanto estiver explorando, eu vou me ferrar tanto...
Para ficar mais simples de entender vou usar um exemplo, vamos supor que eu tenha que testar se realmente consigo me passar por outra pessoa no whatsapp, se eu fizer isto (obviamente não apodrecendo a imagem da pessoa) e ela denunciar a falha antes de eu provar que a falha existe e que era somente um teste de bug bounty, devo avisar antes ao proprietário do whatsapp? ou se eu avisar antes eles ajustam o bug?(eu sinto que a primeira opção é a certa mas não custa perguntar)Mas sinto que deve existir um protocolo/processo par isso, alguém confirma e fala como funciona?
Obrigado