Obrigado @pfaffman pela resposta rápida!
Na verdade, parece que isso foi apenas minha falta de atenção em primeiro plano.
O comportamento padrão da tarefa rake import:file (que invoca ImportExport::Importer) é copiar exatamente as permissões da Categoria de origem. Só descobri isso ao analisar o código-fonte.
E fez exatamente isso. O motivo pelo qual minha categoria de destino não tinha as permissões que eu esperava era que eu havia esquecido de definir essas permissões corretamente na origem! Eu estava movendo uma categoria em um fórum já privado (todo o fórum é privado, então essa categoria tinha Ver/Responder/Criar para Todos lá dentro) para um fórum mais aberto (no qual essas postagens precisavam estar em uma categoria segura - Ver/Responder/Criar apenas para Administradores inicialmente).
Concordo - já que a importação de Categoria é algo que só pode ser feito no ambiente real, pode-se querer que as permissões sejam definidas como apenas para administradores até que a importação seja verificada e todos estejam satisfeitos que está tudo bem. É melhor do que inundar os usuários com notificações sobre importações em massa.