Ich bin kein Sicherheitsexperte, sondern nur ein App-Entwickler, aber alle dauerhaften Änderungen können ausschließlich auf dem Server vorgenommen werden. Was im Browser in EmberJS passiert, dient der Benutzerfreundlichkeit und einem besseren Nutzungserlebnis, z. B. durch Caching für Geschwindigkeit oder automatische, app-ähnliche Interface-Verhalten. Das ändert nichts daran, dass letztendlich alle dauerhaften Änderungen mit dem Rails-Server abgestimmt werden müssen, und dabei hat man nur die Berechtigung, dies im Namen des angemeldeten Benutzers zu tun.
Gleiches gilt für den Abruf aller Daten – der Rails-Server wird nur Daten an den angemeldeten Benutzer senden, die ihm zugänglich sind.
Ich glaube nicht, dass du dir darüber Sorgen machen musst, denn wenn jemand versuchen würde, dies zu umgehen, würde er bereits am ersten Hindernis scheitern: Es gibt keine Möglichkeit, die API zu täuschen.
Was ist dein Anliegen?