Полностью согласен, что автоматические сканеры — это только начало, а ручной анализ даёт ту глубину, которую никак не заменить. Иногда именно ручками находишь прикольные баги, которые машины просто не видят. Главное — не гоняться за кучей найденного, а понять, что реально критично для приложения.