No pues si esta dificil...
Por que no metes los XML en rutas poco comunes? no algo como
Código:
x3pa1/cd34/cAsdQWE123.xml
Así es más dificil q le atinen aunque descompilando el SWF te sacan la dir. Vaya nunca habia tenido que proteger un XML :S
Aunque si lo piensas un poco puedes hacer una función que te genere el path así si lo decompilan no podrán ver la dirección.