Ok, eu encontrei - olhando dentro de /usr/bin/unattended-upgrade . O objeto apt.Package , na verdade, tem um membro chamado _pkg , que é do tipo apt_pkg.Package . Esse tem um membro selected_state - uma constante numérica (um enum). Isto é, o que eu uso no meu código agora:
import apt
import apt_pkg
...
if package._pkg.selected_state == apt_pkg.SELSTATE_HOLD:
pkg['hold'] = True