ChatGPT có Lịch sử bảo mật: xem đăng nhập, MFA và passkey ở đâu?

Tóm tắt: OpenAI bổ sung mục Security history để người dùng ChatGPT xem các lần đăng nhập, đăng xuất và thay đổi cài đặt bảo mật. Đây là công cụ phát hiện dấu hiệu bất thường, nhưng không thay thế việc quản lý phiên đang hoạt động, bật MFA và xử lý ngay khi nghi tài khoản bị chiếm.

Ngày 25/09/2026, OpenAI cập nhật Security history trong ChatGPT. Theo ghi chú phát hành chính thức, mục này hiển thị các sự kiện gần đây như đăng nhập, đăng xuất, thay đổi xác thực đa yếu tố (MFA), passkey và một số cài đặt bảo mật khác. Mỗi sự kiện có thể kèm thời gian, vị trí và thông tin thiết bị.

OpenAI đồng thời lưu ý rằng một số chi tiết có thể chỉ mang tính gần đúng hoặc không có sẵn. Vì vậy, một vị trí lạ chưa đủ để kết luận tài khoản đã bị xâm nhập; người dùng nên đối chiếu thời gian, thiết bị, phiên đang hoạt động và các thay đổi cài đặt trước khi đưa ra kết luận.

Cách mở Lịch sử bảo mật trong ChatGPT

1. Mở ChatGPT trên trình duyệt web và vào Settings.
2. Chọn Security and login.
3. Chọn Security history.
4. Đối chiếu loại sự kiện, thời gian, vị trí và thiết bị.

Nếu tài khoản chưa thấy mục này, có thể tính năng chưa xuất hiện trên tài khoản tại thời điểm kiểm tra. OpenAI công bố tính năng trong ghi chú phát hành nhưng không nêu lịch mở cụ thể cho từng khu vực hoặc từng loại tài khoản.

Security history khác Active sessions thế nào?

Security history là nhật ký các sự kiện đã xảy ra: đăng nhập, đăng xuất, đổi mật khẩu, thay đổi MFA, passkey và cài đặt liên quan. Nó giúp trả lời câu hỏi: gần đây tài khoản đã có hoạt động gì?

Active sessions là danh sách các phiên hiện còn hoạt động. Nó giúp trả lời câu hỏi: thiết bị hoặc trình duyệt nào đang giữ quyền truy cập? Trong hướng dẫn bảo mật, OpenAI cho phép người dùng đăng xuất khỏi toàn bộ thiết bị. Việc đăng xuất có thể cần tối đa 30 phút để áp dụng cho các phiên khác.

Điểm dễ nhầm là bật MFA không tự động hủy các phiên đã đăng nhập. Nếu nghi có người lạ đang dùng tài khoản, OpenAI khuyến nghị đổi mật khẩu nếu có nguy cơ bị lộ, đăng xuất toàn bộ phiên, rồi mới củng cố MFA và các phương thức đăng nhập.

Thấy hoạt động lạ thì xử lý theo thứ tự nào?

1. Chụp lại bằng chứng trước khi thay đổi

Ghi lại loại sự kiện, thời gian, vị trí và thiết bị. Nếu đây là tài khoản dùng cho công việc, thông tin này giúp đội kỹ thuật xác định phạm vi ảnh hưởng và đối chiếu với nhật ký nội bộ.

2. Đăng xuất toàn bộ phiên

Vào Settings → Security and login → Active sessions → Log out of all sessions. Đây là bước nhằm thu hồi quyền truy cập hiện hữu; không nên chỉ đổi mật khẩu rồi giả định mọi phiên cũ đã biến mất.

3. Đổi mật khẩu và kiểm tra MFA, passkey

Dùng mật khẩu riêng, không tái sử dụng từ dịch vụ khác. Kiểm tra xem có phương thức MFA hoặc passkey lạ vừa được thêm hay không. Nếu có, loại bỏ phương thức không nhận ra và liên hệ hỗ trợ.

4. Tách xử lý tài khoản ChatGPT và API

Nếu tổ chức có dùng OpenAI API, hãy kiểm tra khóa API, mức sử dụng và chi phí riêng. Một khóa bị lộ có thể tạo hoạt động trái phép dù lịch sử đăng nhập ChatGPT không có dấu hiệu bất thường. OpenAI khuyến nghị tách khóa theo tính năng, nhóm hoặc dự án để dễ truy vết.

Fact và nhận định cần tách biệt

Fact đã xác minh: OpenAI công bố Security history ngày 25/09/2026; mục này có thể hiển thị đăng nhập, đăng xuất, thay đổi mật khẩu, MFA, passkey và cài đặt bảo mật, kèm thời gian, vị trí và thiết bị. Một số chi tiết có thể gần đúng hoặc không có sẵn.

Nhận định của Học viện AI: nhật ký mới chỉ có giá trị khi doanh nghiệp đã xác định ai sở hữu tài khoản, ai được phép dùng, thiết bị nào hợp lệ và quy trình phản ứng khi có sự kiện lạ. Nếu nhiều người dùng chung một tài khoản, tổ chức sẽ khó phân biệt hành động hợp lệ với xâm nhập.

Bài học này liên quan trực tiếp đến sự cố AI Agent làm rò 53 ảnh người dùng, vụ Anthropic cáo buộc 151 triệu lượt khai thác Claude và trường hợp cơ quan bảo vệ dữ liệu nhận báo cáo AI Agent xâm nhập dữ liệu. Cả ba cho thấy khả năng truy vết quan trọng không kém khả năng ngăn chặn.

Checklist 5 phút cho cá nhân và đội nhỏ

• Mở Security history và rà sự kiện không nhận ra.
• Mở Active sessions và thu hồi phiên không còn dùng.
• Bật MFA hoặc passkey phù hợp; không dùng chung tài khoản.
• Kiểm tra khóa API, mức sử dụng và ngưỡng chi phí nếu có.
• Ghi rõ đầu mối xử lý khi tài khoản hoặc khóa bị nghi lộ.

Nếu doanh nghiệp cần thiết kế phân quyền, nhật ký và quy trình phản ứng sự cố cho đội ngũ AI, hãy nhận proposal triển khai theo quy trình thực tế.

Nguồn tham khảo

• OpenAI — ChatGPT Release Notes, 25/09/2026.
• OpenAI — Keeping your OpenAI account secure.