Das ist ein fantastischer Fang und genau richtig. 
Uploads haben eine user_id, aber das ist nur der ursprüngliche Benutzer, der den Upload erstellt hat.
Die Umwandlung dieses Codes in:
Upload.where(id: params.upload_ids).joins(:user_uploads).where(user_uploads: { user_id: guardian.user.id })
wird den Trick tun.
Können Sie bitte einen PR einreichen!