Это не баг, а фича, предоставляемая PackageKit, который был спроектирован для домохозяек. Если юзер есть в группе wheel, для установки, удаления и обновления пакетов через него пароль не запрашивается.
Оке, а почему если я введу dnf, то пароль затребует