Es geht hier um Security-Updates und Du bringst testing ins Spiel? War es nicht so, dass ausgerechnet testing überhaupt keinen Securityupdates unterliegt und zudem auch noch die längere Pufferfrist für Pakete aus unstable hat?

unstable hat auch schon kein Sicherheitskonzept, erhält außerhalb des Freezes aber immerhin Pakete aus Upstream, wenn der Maintainer denn gerade mal Bock hat oder es keine anderen Showstopper (wie z.B. Transitions) gibt.

Kurzum: abseits von stable ist Debian sicherheitsmäßig sowieso eher nicht zu empfehlen.

Nichts desto trotz bin ich der Meinung (und davon mache ich mich selbst auch nicht frei), dass mit dem Wissen um Sicherheitslücken eine Überempfindlichkeit einher geht. Das Vorliegen von Sicherheitslücken erzeugt sofort Schnappatmung, oft ohne das ein genauerer Blick darauf geworfen wird, welches Bedrohungsszenario denn tatsächlich vorliegt und ob es im gegebenen Fall überhaupt zum Tragen käme.