Дак просто, это же поток. Первый запрос по идее будет — <policy-file-request/>. На это сервер отвечает этим хмлем, а потом уже идет трансляция потока звука. Так например сокет-сервер работает, возможно тут аналогично.
К тому же не стоит недооценивать crossdomain.xml. Но необходим для безопасности приложения и контента.