Ну да, сканеры сейчас часто разводят на ложняк, а серьезные баги умудряются проскочить. Раньше хоть чуть надежнее было, хоть и не идеально. Сейчас без ручного анализа и голых глаз на код, кажется, никак. Автомат — это только для первого прохода, дальше надо самому вникать, иначе ничё не поймаешь.