Depois de transferir as regras para o settings, consegui criar aluno sem estar logado, e consegui deletar alunos estando logado com alguém que não tem essa permissão, até conferi no admin e realmente o usuário não tinha permissão para deletar e deletou, tem algo errado com minha configuração do settings?
REST_FRAMEWORK = {
'DEFAULT_VERSIONING_CLASS': 'rest_framework.versioning.QueryParameterVersioning',
'DEFAULT_PERMSSION_CLASSES': [
'rest_framework.permissions.IsAuthenticated',
'rest_framework.permissions.DjangoModelPermissions',
],
'DEFAULT_AUTHENTICATION_CLASSES':[
'rest_framework.authentication.BasicAuthentication',
]repositório com o código completo https://github.com/karlgama/django-api3