char & означает, что функция возвращает ссылку на указанный символ c в позиции pos в string. Эта функция аналогична выполнению string[pos], которую вы можете использовать для чтения или изменения char в позиции pos. Разница в том, что функция at будет выдавать исключение, если pos больше, чем размер string.
at() функция существует с другим вариантом: const char & at(size_t pos) const: который сообщает const ссылка на символ (вы не можете изменить его и, следовательно, убедитесь, что ничего не произойдет с исходной строкой).