中華民國刑法 第 362 條

關鍵看三件事：工具本身是否專供犯罪（有沒有合法用途）、你的揭露方式（有沒有配套的合法使用說明和負責任揭露流程）、以及實際上有沒有人拿去犯罪並造成損害。單純開源一支多用途工具通常不構成，但若工具只能用來攻擊特定系統且無合法使用情境，風險很高。在 README 明確寫僅供授權滲透測試使用，是證明主觀無犯罪意圖的重要拼圖。

學術研究本身不是免死金牌，法院會實質審查：你是否真在學術機構、成果有無正式發表、揭露過程有無倫理審查、PoC 危險程度有無降級。直接發布完整可執行的攻擊程式，學術研究主張會被打很薄。做漏洞研究時 PoC 只保留到能證明漏洞存在的最小程度，不做成即插即用的攻擊包，這個自律會在日後成為最有力的辯護材料。

358到361條處罰親自動手攻擊電腦的人（入侵、取得、變更、干擾），362條處罰製作攻擊工具給別人用的人。同一駭客事件可能有兩種角色：寫工具的人用362條論處，用工具犯案的人用358到361條論處。兩者也可能是同一人，這時數罪併罰。362條針對程式製作行為而非攻擊結果，所以即使使用者沒被抓到，製作者仍可能成罪。

看工具是否專供犯罪、有無合法用途、揭露方式，以及實際有無被拿去犯案造成損害。多用途工具加合法使用說明風險較低。

製作犯罪程式罪，處罰製作專供入侵破解干擾電腦的程式並供犯罪致生損害的人，最重五年加六十萬罰金。

指除犯罪外別無正當用途的程式，通說從嚴解釋，有研究、測試、防禦等合法用途者原則上不該當。

本罪須實際造成公眾或他人損害結果才成立，單純製作而未造成損害原則上不罰。

同步公開合法使用情境文件、內建合法性檢查、PoC 降級、走負責任揭露、保留開發紀錄。

停止散布並保留 commit 歷史與設計文件、找有資安案件經驗律師、核心打掉專供要件。

提出學術發表紀錄、授權滲透測試合約、防禦驗證使用情境、README 合法使用聲明等佐證。

保存原始開發紀錄與發布時的合法使用文件，證明你的開發意圖非為犯罪，並切斷與使用者的關聯。

362罰製作工具的人，358到361罰親自攻擊的人，同一人可數罪併罰。