Na página apt-get
man:
-d, --download-only
Download only; package files are only retrieved,
not unpacked or installed. Configuration Item:
APT::Get::Download-Only.
Assim, você pode ter uma tarefa cron que execute apt-get update; apt-get -d dist-upgrade
no lugar de upgrades autônomos.