Одно дело показывать другим как абузить что-либо, но совсем другое напрямую написать разрабам. Бан за первое просто обязателен, а за второе как-то непонятно почему.

Показывал публично. За проверенный багрерорт должны спасибо сказать, половина работы сделана. Молчу, что за поиск серьезных уязвимостей тот же гугл баблище платит. 

Я так понимаю, он на стриме своим зрителям показывал, а не напрямую компании в баг репорт, без посторонних людей.

Что за стример?