А ещё для любителей необновления отдельных пакетов придумано aptitude hold
Это не совсем то. Так пакет ВООБЩЕ не будет обновляться. Даже из официального репозитария. Вот если бы можно сделать hold для конкретного репозитария (скажем, для инфралинукса - hold, а для остальных - как обычно), так было бы гораздо удобнее.
К тому же это опять геморрой.
Допустим, там ещё захочет так ненавязчиво обновиться пара десятков пакетов. И что? Каждый проверять и ставить на него hold? Ведь никогда не угадаешь, на что именно в будущем может повлиять такое "неофициальное" обновление. А если пакет некритичен для возможного будущего обновления системы, но критичен для устанавливаемой программы? Это ведь нигде не декларируется.
Для инфралинуксовского ОО я пошёл "гибридным" путём. Скачал отдельные .deb-ы, свалил их в папку, создал описание с помощью dpkg-scanpackages и подключил папку как локальный репозитарий. Да, ругается, что нет подписи репозитария. Да, невозможно обновить автоматически. Но - никаких левых обновлений. А что насчёт обновлений ОО - не так уж часто они выходят, чтобы нельзя было ручками скачать необходимое.