Porque você autentica silenciosamente via PolicyKit ao executar o Atualizador de Software. Parte do 'segredo' está no arquivo
/var/lib/polkit-1/localauthority/10-vendor.d/com.ubuntu.desktop.pkla
mais exatamente por meio desta entrada:
[Update already installed software]
Identity=unix-group:admin;unix-group:sudo
Action=org.debian.apt.upgrade-packages
ResultActive=yes