Сергей Чазов

Почитал доку) Выдержка: "если уровень вложенности нужен одинаковый, то используйте префиксы (или постфиксы) при формировании ссылок. Например, в поле Раздел укажите section-#SECTION_CODE#/, а в поле Детальная информация - detail-#ELEMENT_CODE#/".
Это решает проблему.

Вообщем ответ оказался в том, чтобы в классе создать специальный метод:

public function configureActions(): array
    {
        return [
           'update' => [
                '-prefilters' => [
                    Authentication::class,
                ],
            ],
        ];
    }

И в этом методе отключить проверку на авторизацию. в этом же методе можно отключить и проверку csrf. А можно просто передавать с JS
sessid: BX.bitrix_sessid(),