Consulta modificada com ManyToMany

As atualizações do JPQL permitem apenas atualizar

Consulte a seção 4.10 da especificação JPA:

update_statement ::= update_clause [where_clause]
update_clause ::= UPDATE entity_name [[AS] identification_variable]
                     SET update_item {, update_item}*
update_item ::= [identification_variable.]{single_valued_embeddable_object_field.}*
                     {state_field | single_valued_object_field} = new_value

Vejo duas opções principais:

Basta carregar o User entidades, defina as Authorities e deixe o JPA liberar as alterações no banco de dados.
Se você não quiser ou não puder carregar as entidades, você pode usar SQL para manipular os dados no banco de dados diretamente.