Eu gerou um monte de classes de clientes de um WSDL com o wsdl2java do CXF. Como adiciono o WS-Security ao cabeçalho ao fazer algo assim:

URL url = new URL("http://fqdn:8080/service/MessageHandler");
MessageHandlerService service = new MessageHandlerService(url);
MessageHandler handler = service.getMessageHandler();
MyMessage message = new MyMessage();
message.setSender("User 1");
handler.sendMessage(message);

eu acho quehandler é umjavax.xml.ws.Service instância.