[Sentinel.1988]

Разобрался.
Первым делом надо загрузить файл политики безопасности:

Security.loadPolicyFile("http://api.vk.com/crossdomain.xml");

и грузить всё с внешних ссылок с указанием на него:

photoLoader = new Loader();
photoLoader.contentLoaderInfo.addEventListener(Event.COMPLETE, onPhotoLoaded);
photoLoader.contentLoaderInfo.addEventListener(IOErrorEvent.IO_ERROR, fail);
photoLoader.contentLoaderInfo.addEventListener(SecurityErrorEvent.SECURITY_ERROR, fail);
 
photoLoader.load(new URLRequest(userData.photoURL), new LoaderContext(true));