Sim, isso é em grande parte inerente à necessidade de moderar mensagens privadas (PMs). A mesma pessoa poderia simplesmente compartilhar uma captura de tela se tentássemos bloquear esse comportamento.
Temos um plugin para PMs criptografadas que oferece mais privacidade: Discourse Encrypt (deprecated). No entanto, como um administrador pode acessar o banco de dados, nunca há garantia de 100% de privacidade ao enviar uma mensagem para outra pessoa.