1. сам по себе формат RSS не регулирует какие-либо права доступа, то есть это все на совести "лиру" (как он будет отдавать те или иные записи), если там нет ошибок, то закрытые записи не увидят те, кому не положено.

2. существует масса всяких аггрегаторов, которые качают RSS с других сайтов и публикуют записи в своем RSS, например, Google Reader.

3. поскольку аггрегатор не имеет аккаунта (тем более доверенного) в "лиру", то по умолчанию он никогда не увидит закрытые записи.

4. однако, если кто-то специально будет вытягивать RSS записи под своим аккаунтом и передавать их в аггрегатор (или просто где-то у себя публиковать), то конечно есть возможность закрытые записи "засветить".

в итоге, если есть враги :) то лучше не публиковать вообще ничего