O problema está no formato do security_id e Security.id :char não é suportado.

Encontrei este bilhete (mas não encontro nenhuma referência na documentação)

você deve criar outra coluna com um id numérico para usar na associação HABTM