В описании GitHub написано
Список всех пользователей, которые являются членами организации. Если аутентифицированный пользователь также является членом этой организации, то будут возвращены как скрытые, так и публичные члены.
Так что я думаю, что это правильное поведение, насколько я понимаю.