Вообще, как сторонний наблюдатель могу высказать несколько мыслей:
С одной стороны, действительно, вставку хсски в форму можно рассматривать как атаку на организаторов, и, наверное, за такое все-таки стоит банить, потому что не очень понятно с какого момента "ну смешно же" отличается от действительной отаки на оргов и внутреннюю инфраструктуру.
С другой стороны, если организаторы по малопонятным причинам банят за одно и не банят за другое, то это очень сильно подрывает их авторитет как справедливое и беспристрастное жюри. Если уж банить за хсс, то надо и за скан портов или за атаку уязвимых сервисов, потому что нет способа строго разделить место, куда можно втыкать хсски, от того, куда нельзя. Вдруг админ сервиса случайно с эксплорера сидит, а участник его проатакует.
Вообще, резюмируя, хочется, чтобы правило "не атаковать организаторов" было полностью упразднено, потому что оно становится таким аналогом цензуры в ИБ. Сюда воюйте, сюда не воюйте, а как отличить хорошее от плохого, думайте сами.
Плюс, действительно, если у вас в инфраструктуре какая-то серьезная уязвимость, то может и соревнование само проводить не стоило, пока не поймете, как правильно?