C’est une excellente observation et tout à fait pertinente. 
Les uploads ont un user_id, mais il s’agit uniquement de l’utilisateur original qui a créé l’upload.
Convertir ce code en :
Upload.where(id: params.upload_ids).joins(:user_uploads).where(user_uploads: { user_id: guardian.user.id })
fera l’affaire.
Pouvez-vous envoyer une PR !