Спасибо за ответы.
Я вижу тут компромиссное решение - в настройках есть возможность переключиться между "обновлением сразу после релиза" и "обновлять с задержкой n дней".Еще лучше, когда бы с вашей стороны выходил релиз, некоторое время был в эксплуатации, если все нормально - для него автоматически выставлялся статус, что можно скачивать, и происходило скачивание на машины, где включен этот "безопасный" режим если бы возникали явные проблемы (жалобы и т.д.) базовый архив обновлялся с исправлениями. Тут я имею в виду не проблемы с конкретными функциями нового модуля, а глобальные проблемы, которые вызывают нестабильность системы в целом. Обычно вы их исправляете в течении нескольких часов, но при этом обновления уже прошли у нас.