Хорошо, я нашел еще один такой случай, хотя теперь они встречаются немного реже.
Изображения действительно помечены как защищенные в базе данных (и не были подключены напрямую), с причиной access control post dictates security | source: post creator, несмотря на то, что пост с контролем доступа является публичным и никогда не редактировался и не перемещался.
Как и в предыдущем посте выше, первое изображение в посте не было помечено как защищенное, но все остальные были.
Очень похожая ситуация происходит на другом форуме, хотя в этом случае защищен только первый загруженный файл, а остальные — нет.