Ещё раз о crossdomain.xml

[wvxvw]

Ну, во-первых, это бессмысленно пихать Security.loadPolicyFile() туда, где вы его написали, там могут быть только декларации.
А во-вторых, кросдомейн старого образца, нужно явно указывать, является ли этот файл политик главным, и как к нему относятся остальные файлы политик.
Ну и не понятно как именно вы тестируете (с локального сервера, из файловой системы, с удаленного сервера).

Кроме того, картинки нуждаются в файле политик только для доступа к битмапдате, и то это ограничение обходится багом.