Genau, nur die Patches für das AOSP und das bei Grapheneos auch nicht mehr lange (6 Monate?). Willst du es weiter benutzen wäre eine anders CustomRom sinnvoll, z.B. Calyxos, da können es noch ein paar Jahre länger sein.
Die Frage wurde ja schon öfters diskutiert. Die Antworten sind zusammengefasst: „Komm auf deine Verwendung an“.
Siehe
https://www.kuketz-forum.de/t/sicherheit-bei-langer-nutzungsdauer/3828
oder
https://www.kuketz-forum.de/t/android-smartphone-keine-updates-mehr-sicherheit/4773/23