Если вы грузите в дочерний домейн, то нужно еще и секьюрити домейн указать... я тут начинал делать таблицу когда и что с чем работает, но еще не закончил. И да, Security.allowDomain() вообще не влияет в таких ситуациях. Это маразм флеша, но вот так вот...
https://spreadsheets.google.com/pub?...VE&output=html