[TimeToKill]

Флеш, как только загрузился, уже так или иначе находится на стороне клиента, а значит иметь больше прав, чем сам пользователь, его скачавший, не может. Все равно, что картинка. Представьте: картинка указана в атрибуте html-тэга <img>. И надо, чтобы браузер ее вывел, а пользователь, вбивший адрес картинки из src напрямую в адресную строчку - нет.
Если нужно что-то спрятать - прячьте на стороне сервера. Со стороны клиента: только отправка-получение.