Честно, не уверен, что ловить только базовые косяки — всегда правильный подход. Порой слишком простой баг бывает заметен сразу, а сложные дыры реально замаскированы и требуют глубокого анализа. Автоматы, конечно, помогают, но все равно без погружения в логи и ручной проверки можно много упустить. Часто именно из-за нехватки времени или желания быстро найти что-то громкое общий аудит и трещит по швам.