CURRENT_USER вернет субъект базы данных (пользователя). bob - принципал сервера (логин). Если вы не предоставили доступ к какой-либо базе данных и не добавили bob ни в одну из встроенных групп безопасности сервера, он не будет иметь доступа ни к какой базе данных, кроме master и tempdb. В этих двух базах данных он будет распознан как guest. Это значение по умолчанию, вы можете заметить отличия от этого описания, если в вашей установке что-то изменилось по сравнению с новой установкой (например, вы можете обнаружить, что bob имеет доступ к большему количеству баз данных, потому что эти базы данных включили guest).
Таким образом, в основном вы угадали: bob - это guest, потому что у него нет явного участника базы данных (пользователя) и он не является членом sysadmin (в этом случае он будет dbo в каждой базе данных ).