Сейчас без ручной проверки и понимания логики сложно что-то толковое найти. Автоматизация помогает, но бывает куча лажи и пропусков. Лучше всё вместе — сначала сканер, потом самому по коду и логам копать, чтобы цепочки уязвимостей реально понять и не упустить важное. Так на мой взгляд.