Насколько я знаю, это невозможно - предотвращение такого рода вещей, если сама цель политики того же происхождения, как вы упомянули.
Если только хороший хакер среди нас не найдет черный ход, конечно:)
РЕДАКТИРОВАТЬ Если вы управляете кодом на домене a.com, код на b.com может загрузить заголовок на сервер, опрошенный кодом на a.com ... но это выглядит немного немного некрасиво.