Quando crei un oggetto usando il modello mongoose, ti restituirà un oggetto modello invece di un semplice oggetto javascript. Quindi, quando esegui delete session._id; non funzionerà come session è un oggetto modello e non consente di modificare direttamente la proprietà sull'oggetto modello.
Devi cambiare l'oggetto modello in un semplice oggetto JS usando toJSON() o toObject() metodo dell'oggetto modello ed elimina la proprietà su quello:
tokens.create(req.body).then(function(session) {
var sessionObj = session.toJSON();
delete sessionObj._id;
return res.send(sessionObj);
});