Профессионалы часто комбинируют автоматические сканеры с ручным анализом — только так можно поймать сложные цепочки ошибок и логику, которая на автомате не прокатывает. Ещё при тестах не забывают про сценарии сессий и авторизации — там обычно куча дырок, если не проверить тщательно.