Ambos os URLs funcionam. O servidor exibe o mesmo conteúdo em http://security.debian.org/PATH
e http://security.debian.org/debian-security/PATH
.
O URL com /debian-security
precisa existir porque é o único que funciona com espelhos¹. /debian-security
também é necessário se você usar o FTP ou se você executar uma versão que não seja mais mantida e fazer o download em archive.debian.org
.
Não sei por que o atalho sem /debian-security
foi criado, mas foi mencionado em tantos documentos que você pode contar para não desaparecer.
¹ Os espelhos públicos não são recomendados para a segurança da Debian, porque as atualizações de segurança devem ser distribuídas o mais rápido possível. Mas os espelhos privados são úteis para uma organização que possui muitas máquinas Debian.