Согласен, гибрид — рулит. Автоматчики ускоряют поиск, но часто с глюками и шумом, а ручная проверка помогает не упустить реально критичные моменты. Главное — не гоняться за количеством багов, а понимать, что реально тащит риски и как будет работать бизнес после исправлений. Вот такой баланс и есть ключ к адекватной оценке уязвимостей.