apt-cron par défaut se contente de mettre à jour les sources et de télécharger les paquets pouvant être mis à jour mais sans les installer. Il lance tout ce bouzin à 4h. Très pratique : le matin si t'es en stable et que tu as reçu une annonce de faille de sécurité, tout est déjà sur ton disque prêt à être installé.