L'attributo src non può essere modificato per un bug dei browser.
Forse firefox 2 ha risolto, visto che avevo reportato quest'errore su bugzilla e mi avevano detto che l'avevano risolto

Per maggior sicurezza usa ajax per implementare una pagina php con un tag embed, il cui attributo src è modificato da php in base a una variabile get che invii con ajax.

per tutorial su ajax ti rimando all'ottima guida di html.it