Risolto
ho aggiunto

<mx:Script>
<![CDATA[
Security.loadPolicyFile('http://sito/crossdomain.xml');
]]>
</mx:Script>

Non capisco ... non ci vorrebbe... in ogni caso va che è un amore