Отдачей файлов скорее всего занимается frontend-сервер (nginx / apache / lighttpd). Я думаю что запрещать отдачу определённых файлов (в определённой папке либо по маски в имени) нужно именно в конфиге веб-сервера, а не в CarrierWave.