> а апгрэйд системы на ящике, к которому нет физического доступа, дело дико рисковое

Ну только если так. Хотя ветка всегда тестируется, и кое-где даже очень долго, прежде чем объявляется стабильной. Пакеты и зависимости при этом "замораживаются". Зависимости регулярно ломают в экспериментальной ветке.

"Dependency hell", вроде, про ручное разрешение зависимостей, как в голом dpkg и rpm. Но его никто и не использует.