Я не эксперт по безопасности, а лишь разработчик приложений, но все постоянные изменения могут быть внесены только на сервере. То, что происходит в браузере в EmberJS, предназначено для удобства пользователя и улучшения пользовательского опыта, например, кэширование для ускорения работы и автоматическое поведение интерфейса, похожего на приложение. Это не меняет того факта, что в конечном итоге все постоянные изменения должны быть согласованы с сервером Rails, и при этом у пользователя есть разрешение на их внесение только для авторизованного пользователя.
То же самое касается всех операций извлечения данных — сервер Rails будет отправлять только те данные, к которым имеет доступ авторизованный пользователь.
Я не думаю, что вам стоит об этом беспокоиться, потому что если кто-то попытается обойти эту защиту, он столкнется с первым препятствием: обмануть API невозможно.
Что именно вас беспокоит?