Я смог выяснить сам. Проблема была не в GAE, а в dep. Каким-то образом dep удалось заблокировать очень старую версию этой зависимости с помощью символической ссылки, которая, конечно, не может быть решена локально. Редактирование Gopck.toml и указание правильной ревизии решило эту проблему.
Извините, что подумал, что это проблема Google. Я не знаю, чтобы закрыть этот вопрос:)