MS решили закрутить для XBAP безопасность:
http://blogs.msdn.com/b/ieinternals/archive/2011/03/09/internet-explorer-9-xbap-disabled-in-the-internet-zone.aspx

Предлагают через ClickOnce распространять. Так что если кто пользуется — думайте как теперь жить.

Чем уж так XBAP опасней сильверлайт-приложения, там же изначально ничего лишнего нельзя было делать, еще какую-то новую опасность нашли?
В общем, не понимаю, они сами себя выпороли, или все-таки есть какая-то логика?