Olá Felipe, tudo bem? É isso mesmo, quando você criar um repositório público, qualquer um pode fazer o pull e baixar todo o código do seu projeto. Porém por padrão todos os repositórios são somente leitura, então qualquer usuário anônimo pode fazer o pull, mas não pode fazer o push, apenas se você indicar nas configurações do repositório ou se você adicionar o usuário da outra pessoa como colaborador do seu projeto.

Espero ter esclarecido sua dúvida!

Porém Felipe, uma coisa que esqueci é que pull requests são diferentes de pull, um pull é apenas para puxar o repositório, apenas baixar. Já pull requests por mais que o nome indique outra coisa, serve para criarmos solicitaçõesde merge de uma branch para outra. Geralmente fazermos assim, desenvolvemos uma nova funcionalidade numa branch separada, depois subimos essa branch para o repositório e por fim criamos um pull requests para alguém verificar as mudanças e novos códigos que fizemos e depois realizar o merge para a branch master ou algo do tipo.