Los "masked" son ebuilds que están un paso más allá de los inestables. Se les marca así para que no se puedan instalar ni siquiera usando el árbol inestable (ACCEPT_KEYWORDS="~x86"), porque se sabe con seguridad que tienen fallos, ya sea en el programa en sí o en sus dependencias. También hay otras razones, como por ejemplo en KDE 3.2.0, que se "enmascaró" porque los paquetes no estaban disponibles en los FTPs en el momento de crear la ebuild, así que obviamente no se podía instalar. Se pueden "desenmascarar" editando el archivo /usr/portage/profiles/package.mask, aunque en algunos casos no es muy recomendable (en otros puede no pasar nada).
Saludos.
EDIT: y mucho ojo, que el emerge sync sobreescribe el package.mask, así que hay que editarlo otra vez después de actualizar.