> Чем самоходные - да. Но после продолжительного общения с CMake каждый раз,

Спасибо, имел с ним дело. Из его минусов:
* Ему надо плюсатый компилер и вообще разлапистые плюсы. В эмбеддовке сие задалбывает, т.к. переть жирный си++ когда остальному проекту он не нужен - не в кассу. Ну или возня с кросскомпилом на выбор. Не то чтобы это ракетная наука, но компилить напрямую на таргете порой удобнее чем кросскомпил, обладающий своими подводными камнями и особенностями.
* Cmake для начала сам должен быть под целевую систему, что опять же означает попадос на сборку си++ компилера а потом и самого C[rap]Make'а. Автокрап доволен гольным шеллом, остальное - в зависимости от нужд проекта уже. Хорошо когда не надо таскать пререквизиты под систему удобного билдования, а только под сам проект, блин.
* Встроенные проверки - довольно убоги и крайне глючны. Чуть нестандартная система - и cmake превращается в какую-то русскую рулетку.
* У автокрапа лучше средства диагностики проблем. Конфигур по ходу дела пишет вербозный лог чего и нафига он делает. Очень удобно трублешутить, если лыжи почему-то не возжелали ехать по имеющемуся у нас асфальту. В cmake заколебешься разгребать на чем оно там заткнулось, а глюкавые встроенные проверки и прочие прелести весьма способствуют брейнфакингу на ровном месте. Вообще, при сборке на сколь-нибудь экзотичных платформах с cmake можно сношаться больше чем с ручной пропиской параметров программе если б автоконфигуратора вообще не было. А оно такое надо?! Цель автоконфигуратора - помогать в компиле, а не создавать трудноизлечимый геморрой при этом!

> когда в configure-скрипты внедряли вредоносный код.

Были прецеденты внедрения бэкдоров прямо в основной сишный код, как с unreal ircd. Что ж теперь, вообще программами не пользоваться? Грубо говоря, если вы не доверяете автору программы и его умению содержать код в безопасности - вы просто не должны пользоваться такой программой. Потому что кроме конфигур скрипта есть еще over 9000 мест куда можно вдуплить подлянки. И?