olá wood,
tem alguns tópicos que falam sobre isso:
http://www.guj.com.br/java/234116-resolvidovraptor-problema-com-spring-security--rolesallowed
http://www.guj.com.br/java/217361-tutorial-vraptor--spring-security-3
e mais alguns outros…
mas basicamente, pra usar bibliotecas do spring que usam AOP você precisa que os seus componentes tenham construtor padrão (solução ruim) ou que usem interface e implementação (solução boa).
na segunda solução, vc sempre usa as dependências referenciando interfaces, desse jeito o spring consegue criar os proxies sem problemas.
no caso do controller é possível que não funcione essa tática da interface, mas vc pode usar as soluções descritas no primeiro post que eu mandei