[maxkar]

Вот. Уже гораздо лучше. До контакта дело не доходит (и там то, скорее всего, уже все нормально). В какие Application/Security домены грузится bonfier.swf? Вероятно, в bonfire.swf нужно прописать Security.allowDomain("*"). Иначе доступа к конетнту не будет. Или грузить bonfire.swf тоже в SecurityDomain.currentDomain (application domain может быть другой). Последнее для доступа к классам точно работает (без прописывания allowDomain), для Loader.content - не знаю.

Добавлено через 15 минут
Есть еще один вариант. Но он может оказаться менее красивым и сложнее в реализации.

Загрузку картинок из контакта можно сделать в Loader.swf. Game.swf в этом случае загружается в свой applicationDomain/securityDomain, разрешает всем доступ (allowDomain("*")). Для загрузки аватарок обращается к Loader.swf (доступ разрешен), та в свою очередь загружает картинку и извлекает из нее bitmapData (так как она на серверах контакта, но loadPolicyFile все равно должен быть установлен) и передает уже извлеченную bitmapData в Game.swf. Не нравится мне то, что сетевые сервисы (с кодом обработки ошибок и т.п.) могут оказаться размазаны по Game.swf и Loader.swf