Não sou especialista em segurança, apenas desenvolvedor de aplicativos, mas todas as alterações persistentes só podem ser feitas no servidor. O que acontece no navegador no EmberJS é para conveniência do usuário e uma experiência de usabilidade superior, como cache para velocidade e comportamento de interface semelhante ao de um aplicativo, quase automático. Isso não muda o fato de que, em última análise, ele precisa negociar todas as alterações persistentes com o servidor Rails e, ao fazê-lo, terá permissão para isso apenas para o usuário logado.
O mesmo vale para toda a recuperação de dados: o servidor Rails só enviará dados aos quais o usuário logado tem acesso.
Acho que você não precisa se preocupar com isso, porque, se alguém tentasse subverter isso, esbarraria no primeiro obstáculo: não há como enganar a API.
Qual é a sua preocupação?