Resposta rápida:
Defina "Verificar automaticamente se há atualizações" para "Nunca", & depois atualize manualmente.
Porquê:
O software padrão & A GUI de atualizações é baseada no pacote de upgrades autônomos, que faz o download automático de atualizações de segurança quando verifica todas as atualizações.
Na página Atualizações Automáticas do Ubuntu:
The unattended-upgrades package can be used to automatically install updated packages, and can be configured to update all packages or just install security updates.
Como XModulo explica:
On Ubuntu, automatic updates are managed by a package called unattended-upgrades which is installed by default. This package downloads and installs security updates automatically. Optionally, it can also auto-upgrade packages available from other configured APT sources (such as "updates", "proposed" "backports").
Xmodulo prossegue explicando que a única maneira de desativar os downloads automáticos de atualização de segurança é alterar a configuração "Verificar automaticamente atualizações" para "Nunca". Algo contra-intuitivo, e não uma ótima solução, mas necessário se você precisa preservar a largura de banda, etc.
Atualização manual:
A atualização manual é bastante direta do Synaptic (que pode precisar ser instalado) ou de uma linha de comando:
sudo apt-get update
sudo apt-get upgrade
É claro que você pode configurar um lembrete para atualizar manualmente ou outras soluções criativas, etc., se quiser algum vestígio de atualização "automática".