No soy un experto en seguridad, solo un desarrollador de aplicaciones, pero todos los cambios persistentes solo pueden realizarse en el servidor. Lo que ocurre en el navegador con EmberJS es para la comodidad del usuario y una mejor experiencia de usabilidad, por ejemplo, la caché para mayor velocidad y el comportamiento automático de la interfaz tipo aplicación. Esto no cambia el hecho de que, en última instancia, debe negociar todos los cambios persistentes con el servidor de Rails y, al hacerlo, solo tendrá permiso para hacerlo en nombre del usuario que ha iniciado sesión.
Lo mismo ocurre con toda la recuperación de datos: el servidor de Rails solo enviará los datos a los que el usuario que ha iniciado sesión tenga acceso.
No creo que necesites preocuparte por esto, porque si alguien intentara subvertir este proceso, tropezaría en el primer obstáculo: no hay forma de engañar a la API.
¿Cuál es tu preocupación?