Я часто сталкиваюсь с проблемой, что люди которые уходят работать на полный день - не могут открыто и спокойно искать уязвимости в свободное от работы время.
Часто это ограничение связано с контрактом, который они подписывают с организацией. Есть несколько причин почему самой организации в которой вы работаете - это может быть нужно и даже выгодно.

1) Самое простое конечно это саморазвитие. Нельзя искать баги без прокачки скила, без чтения статей и новых техник. Так не работает. Собственно осуществляя эту активность регулярно, сотрудник в перспективе имеет постоянный и современный взгляд на вещи и на уязвимости.

2) Неоднократно из-за моей увлеченности в поиске уязвимостей, я находил уязвимости в сервисах организации в которой работаю. И происходило это из-за моей вне рабочей активности. Но каждый раз когда я что-то исследую я думаю - а нет ли в моей компании той или иной проблемы. И такие уязвимости находились.

3) Но более уникальным примером может стать история, когда я в результате своих исследований нашел уязвимость, которая по сути являлась supply chain атакой. Уязвимость затрагивала организацию для которой я хотел сделать ответственное раскрытие. Но когда я оценивал проблему, то заметил очень знакомое слово. Этим словом было название подрядчика, который привлекался в моей организации. Оказалось что "случайно взломанная" компания имеет второе юридическое лицо, которое и осуществляет работу в виде подрядчика для организации в которой я работал. В итоге в свободное от работы время я нашел очень серьезную проблему (CVSS 10.0) которую вряд ли бы нашел занимаясь основными обязанностями. И даже бы оценка вендора/подрядчика не показала бы эту проблему. Т.к оценка вендора не учитывает другие юридические лица и потенциальные связи нескольких юридических лиц. Ощущение было такое что я достал кролика из шляпы. Ну и ребята которым пришлось звонить в выходные ночью были очень удивлены и благодарны.

PS: Аналогичный пост закинул в твиттер. Можно полайкать чтоб больше рисёрчеров смогло объяснить своим менеджерам почему research activities не должны иметь ограничения по времени. А результаты могут быть полезны абсолютно всем.