Согласен, часто сканеры просто не могут пройти через все слои защиты или аутентификации, поэтому результат получается чистым. Ещё бывает, что сканер упирается в CDN или WAF и не видит настоящего приложения. Ну и баз данных уязвимостей тоже не всегда хватает или они устаревшие — значит, новые баги он не поймает. В общем, без правильной настройки и проверки работы сканера толку мало.