Bom não sei se alguém esta tendo o mesmo problema que o meu.. O problema é o seguinte quando eu tenho um controller Ex: IndexController com uma action home e esta action tenha a anotação @Secured com alguma role, se eu usar a url http://localhost:8080/index/index o spring security verifica que a action relacionada a esta url é protegia e necessita de login agora se eu mapear a action no UrlMappings.groovy como /minha-homepage(ou qualquer outra coisa aqui) por exemplo  não o spring security não funciona corretamente ele sempre deixa passar independente se o usuário esta logado ou não.
A solução que eu encontrei para o problema foi a seguinte:

Criar uma classe que extends a AnnotationFilterInvocationDefinition e sobrescrever o método isController

class CustomAnnotationFilterInvocationDefinition extends AnnotationFilterInvocationDefinition {
    @Override
    protected boolean isController(String controllerName, String actionName) {
        return application.getArtefactByLogicalPropertyName(ControllerArtefactHandler.TYPE, controllerName)
    }
}

e no arquivo grails-app/conf/spring/resources.groovy adicionar o seguinte código

objectDefinitionSource(CustomAnnotationFilterInvocationDefinition) {
        application = ref("grailsApplication")
        grailsUrlConverter = ref("grailsUrlConverter")
        httpServletResponseExtension  = ref("httpServletResponseExtension")
        rejectIfNoRule = application.config.grails.plugin.springsecurity.rejectIfNoRule
    }

Resumindo na implementação original o método isController usa o seguinte código 

application.getArtefactForFeature(ControllerArtefactHandler.TYPE, SLASH + controllerName + SLASH + actionName)

Que sempre retorna null e olhando na implementação do grails 3 o método getArtefactForFeature não tem mais implementação tem um simples return null