Один из способов решить эту проблему - если вы проверяете вход в систему - это создать собственный базовый класс, который будут использовать все контроллеры, для которого требуется аутентифицированный пользователь. Этот базовый класс будет перенаправлять пользователя на контроллер аутентификации, если они не аутентифицированы. Контроллер аутентификации будет не наследоваться от базового класса, что предотвращает бесконечный цикл перенаправления.
Я использовал эту схему для реализации аутентификации в CodeIgniter, и хотя CI отличается от Kohana, они достаточно близки, чтобы она работала и для вас.