セキュリティの専門家ではなく、アプリ開発者ですが、永続的な変更はすべてサーバー側でのみ行われます。EmberJS のブラウザ上での動作は、ユーザーの利便性と優れた使いやすさを実現するためのもので、例えば速度向上のためのキャッシュや、アプリのような自動的なインターフェースの動作などです。しかし、最終的にはすべての永続的な変更を Rails サーバーと交渉する必要があり、その際、ログイン中のユーザーに対してのみその権限が与えられます。
データ取得についても同様で、Rails サーバーはログイン中のユーザーのみがアクセスできるデータを送信します。
この点について心配する必要はないと思います。もし誰かがこれを回避しようとしても、最初の関門でつまずくでしょう。API をだます方法はないからです。
ご懸念されている点はどのようなことでしょうか？