Sim, a coisa fundamental de dev xp aqui é que devemos proibir essa manipulação de grupos automáticos e forçá-lo a usar PUT {{site}}/admin/users/{{userId}}/trust_level apenas para transição de coisas. Retorne um 422 ou algo assim se as pessoas tentarem usar endpoints para adicionar ou remover pessoas manualmente dos grupos.
Desfazer o nível de confiança deve sempre acontecer a partir daqui: