Kiedy tworzysz obiekt za pomocą modelu mangusty, zwróci ci obiekt modelu zamiast zwykłego obiektu javascript. Tak więc, kiedy wykonasz delete session._id; nie będzie działać jako session jest obiektem modelowym i nie pozwala na bezpośrednią zmianę właściwości obiektu modelowego.
Musisz zmienić obiekt modelu na zwykły obiekt JS za pomocą toJSON() lub toObject() metoda obiektu modelu i usuń z niego właściwość:
tokens.create(req.body).then(function(session) {
var sessionObj = session.toJSON();
delete sessionObj._id;
return res.send(sessionObj);
});