А какой валидный сценарий менять основную фотку пользователя без его ведома, с учетом того что клиент для ОК внешний разработчик сделать не может?
Если у вас сервис работы с картинками - фильтры, искажения - можно просто сохранять фотки в альбом пользователя, но не менять картинку профиля