Seperti yang saya pahami - metode yang memiliki placeholder untuk parameter kueri ($wpdb->insert() , $wpdb->update() , $wpdb->delete() ) tidak memerlukan $wpdb->prepare() metode, dan mereka sudah aman.
Tetapi yang lain - yang tidak memiliki placeholder, perlu sql escaping tambahan.