入手・発見した脆弱性情報を当事者やIPAなどしかるべき機関以外の第三者に提供した場合、様々なリスクをかぶることになります。
例
提供先が不用意に公開
「○○のシステムに脆弱性があるという情報が提供されました」などと公表されてしまうと、信用失墜や業務妨害などとして責任を問われる可能性があります。「提供しただけで公開には関わっていない」と言っても、提供自体が不適切な行為なので、一体として責任を問われる可能性は十分に考えられるでしょう。
実際に攻撃が行われた
提供先が悪用した場合はもちろん、攻撃が提供とは無関係であったとしても、不適切な情報の取り扱いは疑いを掛けられる十分な理由になります。疑いをそらすため、または無邪気に提供先はあなたを売るかもしれません。
提供を受ける側のリスク
上記は実は提供を受けた側にも当てはまります。提供を受けた情報が別のところで公表されたり悪用された場合、不適切に情報を入手したということで疑いを持たれてもやむを得ません。
脆弱性情報を収拾することについて
脆弱性情報のやりとりは上記の通り提供する側される側双方にリスクがある行為であり、情報の取り扱いについての知見があれば、普通はそのような情報を受け取ることはありません。つまり、脆弱性情報を第三者から収拾している、ということ自体、その人物は脆弱性情報の適切な取り扱いについて知見を有していないか、さもなくば悪意があるかのいずれかである可能性が高いと考えるべきで、情報が適切に扱われることは期待できないでしょう。そのような人物に情報を提供することは、「常識的な注意を欠いている」と評されかねません。このことは上記したようなリスクの発現可能性がより高まる、ということを意味します。