Это не рест фичи, это список доступных для mass assignment аттрибутов. Однако проблема присваивания не так решается. Она решается через проверки в коде контроллера (а лучше не контроллера), имеются ли права на присоединение А к Б. То есть badge_set_id нужно убрать, но этого не достаточно.