Como você suspeita, não há uma maneira fácil de conseguir isso sem uma explosão exponencial de GPOs. Ou atribuindo grupos manualmente, o que provavelmente também não é uma opção para você.
Tente analisar seus clientes a partir da perspectiva das funções em vez de "qual software está instalado?" e / ou "onde esta maquina esta em?" A localização física do cliente, afinal, provavelmente não importa do ponto de vista de quais atualizações ele recebe. Por exemplo, normalmente todas as estações de trabalho de contabilidade têm um conjunto de softwares instalados (ou podem ter um conjunto padrão) e todas as estações de trabalho de operações possuem um conjunto de softwares instalados. Isso se torna dois grupos de segmentação no WSUS e as atualizações são aplicadas com base no software que você já conhece em cada grupo por função.
Seria ótimo se uma mesclagem fosse possível, mas não posso resolver uma solução simples para o seu problema, mesmo usando o filtro WMI.
Esta não é uma ótima resposta, mas sinto que é melhor do que as duas que você tem aqui.