Рассматриваемый объект не помечен как Safe-For-Scripting, поскольку он предоставляет небезопасную функциональность потенциально ненадежному контенту.
Для запуска таких объектов вам необходимо подключить диспетчер безопасности делегата и вернутьсяURL_POLICY_ALLOW для URLAction 0x1201.