Grey hat (lub gray hat, dosł. „szary kapelusz”) – haker lub badacz bezpieczeństwa komputerowego, który działa bez zgody właściciela systemu, ale bez złych intencji charakterystycznych dla przestępców komputerowych; pojęcie pośrednie między white hat (działającym legalnie i za zgodą) a black hat (działającym bezprawnie dla własnej korzyści). Typowy scenariusz działania grey hat to włamanie do systemu lub odnalezienie luki bez upoważnienia, a następnie poinformowanie o niej właściciela – niekiedy wraz z ofertą odpłatnej naprawy.
W 1999 roku termin pojawił się w druku w reportażu New York Times Magazine poświęconym grupie L0pht. Jeden z jej członków stwierdził, że nie są ani white hatami, ani black hatami, ponieważ mają własne standardy etyczne i moralne i stąd używają terminu gray-hat.
W 2002 roku środowisko Anti-Sec używało określenia grey hat odwrotnie – pogardliwie, wobec osób, które za dnia pracują w branży bezpieczeństwa, a nocą podejmują działania bardziej typowe dla black hatów.
W 2008 roku Electronic Frontier Foundation zdefiniowała grey hats jako badaczy działających etycznie, którzy w toku badań nad bezpieczeństwem nieumyślnie lub w sposób dyskusyjny naruszają prawo, i opowiedziała się za precyzyjniejszymi przepisami o przestępczości komputerowej.
Według podręcznika Gray Hat Hacking różnica sprowadza się do postępowania z odkrytą luką: white hat wykorzystuje ją wyłącznie za zgodą i nie ujawnia do czasu naprawienia, black hat wykorzystuje ją bezprawnie lub uczy tego innych, natomiast grey hat nie robi żadnej z tych rzeczy, choć samą lukę mógł znaleźć bez upoważnienia[niewiarygodne źródło?]. Przewodnik bezpieczeństwa Red Hat Enterprise Linux akcentuje z kolei kwestię zgody: grey hat ma umiejętności i intencje podobne do white hata, ale włamuje się do systemów bez pozwolenia. Robert Moore zwraca uwagę, że część definicji uznaje za grey hat osoby, których działania naruszają prawo jedynie w sposób dyskusyjny, w celu badania i poprawy bezpieczeństwa[niewiarygodne źródło?].
W badaniu psychologicznym z USA, opublikowanym w 2021 roku, analizowano m.in. cechy tzw. ciemnej triady, poszukiwania wrażeń oraz sprzeciwu wobec autorytetów. W przypadku hakowania typu grey hat stwierdzono istotny statystycznie związek ze sprzeciwem wobec autorytetów.
W kwietniu 2000 roku hakerzy o pseudonimach „{}” i „Hardbeat” uzyskali nieuprawniony dostęp do serwerów projektu Apache. Co prawda zwandalizowali witrynę zmieniając niektóre obrazki, ale nie wyrządzili znaczącej szkody i poinformowali zespół Apache o problemach konfiguracyjnych, które umożliwiły włamanie. W 2010 roku grupa Goatse Security ujawniła lukę w serwisie AT&T, która pozwalała pozyskać adresy e-mail użytkowników iPadów; po powiadomieniu operatora grupa opisała sprawę mediom, a FBI wszczęło śledztwo przeciwko jej członkom.
Szeroko opisywanym przykładem działania grey hat była sprawa Khalila Shreateha, bezrobotnego badacza z Palestyny, który w sierpniu 2013 roku – po tym, jak zespół bezpieczeństwa Facebooka zignorował jego zgłoszenia – zademonstrował odkrytą przez siebie lukę, publikując wpis bezpośrednio na tablicy Marka Zuckerberga. Luka pozwalała pisać na tablicy dowolnego użytkownika i została naprawiona po incydencie, ale Shreateh nie otrzymał nagrody z programu Bug bounty, ponieważ złamał regulamin serwisu.
Działalność grey hat pozostaje w napięciu z wypracowanymi w branży modelami skoordynowanego ujawniania podatności (ang. coordinated vulnerability disclosure), w którym badacz przekazuje informacje producentowi i daje mu czas na przygotowanie poprawki, oraz polityką pełnego ujawnienia, zakładającą publikację szczegółów luki bez względu na stan poprawek. Procedury przyjmowania i obsługi zgłoszeń o podatnościach ujęto także w normie ISO/IEC 29147. Grey hat z definicji działa jednak bez zgody właściciela systemu, przez co nawet zgłoszenie luki w dobrej wierze może narazić go na odpowiedzialność karną.
Ryzyko prawne wiąże się w Polsce z przepisami kodeksu karnego dotyczącymi bezprawnego uzyskania dostępu do systemu i tzw. narzędzi hakerskich (art. 267 i 269b). Do 2017 roku przepisy te nie przewidywały żadnego wyłączenia dla działań podejmowanych w dobrej wierze: w 2013 roku opisywano przypadek zatrzymania mężczyzny, który zgłosił urzędnikowi wykrytą lukę, a w przygotowanej w 2016 roku dla Ministerstwa Cyfryzacji analizie prawnej stwierdzono wprost, że zamiar przełamania zabezpieczenia, nawet podjęty w dobrej wierze i połączony z zamiarem powiadomienia dysponenta systemu, nie wyłącza odpowiedzialności karnej.
Stan ten zmieniła nowelizacja z 2017 roku, która wprowadziła kontratyp z art. 269b § 1a oraz klauzulę niepodlegania karze z art. 269c. Obejmuje ona osobę działającą wyłącznie w celu zabezpieczenia systemu albo opracowania metody takiego zabezpieczenia, która niezwłocznie powiadomiła dysponenta systemu o ujawnionych zagrożeniach. Zakres i skuteczność tej ochrony pozostają przedmiotem sporu w piśmiennictwie prawniczym; wskazywano, że konstrukcja art. 269c nie realizuje w pełni swojego celu, i postulowano zawężenie jej wyłącznie do osób poszukujących luk bezpieczeństwa na własną rękę, o ile działają w warunkach symulacji.